„Каскадата от пропуски в сигурността“ на Microsoft, обвинена за китайското хакване на служители на САЩ

„ Каскада от пропуски в сигурността “ в Microsoft разреши на подкрепяна от страната китайска хакерска група да получи достъп до имейл сметките на висши чиновници на държавното управление на Съединени американски щати предходната година, съгласно ослепителен отчет от ръб за обзор на киберсигурността, оповестен в сряда.

Докладът на Съвета за обзор на кибербезопасността на Съединени американски щати, основан през 2021 година от президента на Съединени американски щати Джо Байдън, разказва необятно публикувани проблеми с културата на корпоративна сигурност и бистрота на софтуерния колос, в това число калпави практики за киберсигурност, които са оставени без внимание от години. В него се споделя, че Microsoft би трябвало изцяло да преразгледа тази просвета на сигурност, с цел да подсигурява, че такова „ предотвратимо “ нарушаване няма да се случи още веднъж.

Най-притеснителното е, че бордът откри, че Microsoft към момента не знае по какъв начин хакерите са проникнали – макар обществени изказвания по това време, твърдящи друго, които останаха некоригирани в продължение на месеци.

„ За страдание, по време на този обзор Бордът разпознава поредност от оперативни и стратегически решения, които групово сочат към корпоративна просвета в Microsoft, която деприоритизира и двете вложения в корпоративна сигурност и прецизно ръководство на риска “, се споделя в отчета.

„ Тези решения доведоха до обилни разноски и вреди за клиентите на Microsoft по целия свят. Бордът е уверен, че Microsoft би трябвало да обърне внимание на своята просвета на сигурност. “

Проникването, почнало през май 2023 година и за първи път разпознато от Държавния департамент на Съединени американски щати идващия месец, засегна имейлите на Microsoft Exchange Online на 22 организации и повече от 500 души по целия свят. Сред тях са някои от висшите чиновници на държавното управление на Съединени американски щати, ръководещи връзките сред Съединени американски щати и Китай, като министъра на търговията на Съединени американски щати Джина Раймондо и посланика на Съединени американски щати в Китай Никълъс Бърнс.

Свързаната с китайското държавно управление хакерска група, известна като Storm-0558 проникна в някои имейл сметки, основани на облака, за минимум шест седмици и изтегли към 60 000 имейла единствено от Държавния департамент, се споделя в отчета от 34 страници. Три мозъчни тръста и задгранични държавни организации, в това число редица английски организации, са измежду компрометираните, се споделя в известието.

Хакерите „ удариха шпионския еквивалент на златото “, споделиха ръководителят на борда за обзор Робърт Силвърс и заместник-председателят Дмитрий Алперович във встъпително известие към отчета.

Панелът направи редица обширни рекомендации, в това число приканва Microsoft да спре прибавянето на функционалности към своята облачна среда, до момента в който не бъдат направени „ основни усъвършенствания в сигурността “. с съответни периоди за осъществяване на фундаментални, фокусирани върху сигурността промени в цялата компания и цялостния й пакет от артикули. “

В изказване Microsoft сподели, че прави оценка следствието на борда и ще „ продължи да втвърдява всички наши системи против нападат и ползват още по-стабилни датчици и регистрационни файлове, с цел да ни оказват помощ да открием и отблъснем кибер-армиите на нашите съперници. “

Global News се свърза с Канадския център за киберсигурност, който беше измежду организациите, даде визия и експертен опит по време на прегледа, за коментар на отчета и неговите констатации. Няколко канадски държавни организации употребяват софтуерни артикули на Microsoft, в това число облачни калкулации.

Бордът, който е част от Агенцията за киберсигурност и сигурност на инфраструктурата на Съединени американски щати, беше призован от министъра на вътрешната сигурност Алехандро Майоркас през август, с цел да дефинира какво е довело до проникването. В отчета се отбелязва, че Microsoft е оказала цялостно подпомагане при прегледа.

Прегледът заключава, че хакерската група се е възползвала от пропуски в системата за засвидетелствуване на Microsoft, с цел да получи ключ, който й е разрешил да „ получи цялостен достъп до съвсем всеки акаунт в Exchange Online Навсякъде по света. " Тези дефекти също попречиха на Microsoft да разпознава кражбата на ключа, до момента в който Държавният департамент не уведоми компанията за хакването.

Бордът упрекна Microsoft в неточни обществени изказвания за случая – в това число издаване на изказване, в което се споделя, че вярваше, че е определило евентуалната съществена причина за проникването, „ когато в действителност към момента не е “. Microsoft не актуализира тази подвеждаща обява в блога, оповестена през септември, доникъде на март, откакто бордът неведнъж попита дали възнамерява да издаде промяна, сподели той.

Докладът отбелязва редица обособени, само че свързани произшествия че се споделя, че сочат слабата просвета на сигурност на Microsoft, в това число „ неуспехът да се открие компрометиране на преносим компютър на чиновник от неотдавна добита компания, преди да му се разреши да се свърже с корпоративната мрежа на Microsoft през 2021 година “

Бордът също по този начин изрази угриженост по отношение на обособен хак, оголен от компанията в Редмънд, Вашингтон през януари - този на имейл сметки, в това число тези на неразкрит брой висши ръководители на Microsoft и неразкрит брой клиенти на Microsoft и приписан на подкрепяни от страната съветски хакери.

Сред най-осъдителните обвинявания против Microsoft в отчета е включването на откъс от имейл от 2002 година до чиновници на Microsoft от съоснователя на компанията и тогавашен основен изпълнителен шеф Бил Гейтс, подчертаващ значимостта да се даде приоритет на сигурността пред прибавянето характерности на своите артикули.

„ Нашите артикули би трябвало да натъртват на сигурността още от кутията и ние би трябвало непрестанно да усъвършенстваме и подобряваме тази сигурност с развиването на заканите “, написа Гейтс. „ Тези правила би трябвало да се ползват на всеки стадий от цикъла на разработка на всеки тип програмен продукт, който сътворяваме, от операционни системи и настолни приложения до световни уеб услуги. “

Microsoft, заключи бордът, „ се е отдалечила от този етос и би трябвало да го възвърне неотложно като главен корпоративен приоритет. “

Storm-0558, китайската държавна хакерска група, е взела участие в сходни прониквания – компрометиране на облачни снабдители или кражба на ключове за засвидетелствуване, тъй че може да проникне в сметки - най-малко от 2009 година, се споделя в отчета, ориентиран към компании, в това число Гугъл, Yahoo, Adobe, Dow Chemical и Morgan Stanley.

Microsoft означи в изказването си, че забърканите хакери са „ с положителни запаси участници в опасността за национална страна, които работят непрестанно и без значимо въздържане. и сериозна инфраструктура, както и за демократични избори.

CSE също по този начин предизвести канадците, че могат да бъдат ориентирани като физически лица от китайски държавни артисти, които може да се опитат да ги подмамят или принудят да разкрият чувствителни данни.

— с файлове от Associated Press