Microsofts 6 største hacks: Er det behov for bedre sikkerhet?

Microsoft har utvilsomt blitt et kjent navn siden det ble grunnlagt, men historien er ikke knirkende ren. Gjennom årene har Microsoft vært utsatt for en lang rekke sikkerhetshendelser, hvorav mange har satt brukerdata i fare. Så, hva er de største Microsoft-hakkene i det 21. århundre? Og trenger denne teknologigiganten bedre sikkerhet?

1. 2021 Exchange Server Breach

Helt i starten av 2021, 3. januar, begynte Microsofts Exchange-plattformservere å bli kompromittert gjennom fire nulldagers programvaresårbarheter.

Det var ikke før i mars samme år at omfanget av angrepet ble tydelig, med over 30 000 USA-baserte organisasjoner som ble angrepet via disse programvarefeilene i Microsoft Exchanges kode. Alt i alt ble over 250 000 individuelle Exchange-servere hacket, med 7 000 av disse i Storbritannia. Andre land, inkludert Norge og Chile, ble også rammet.

Dataene som ble stjålet i dette angrepet inkluderer e-postadresser og passord til serverbrukere. I tillegg kan angriperne legge til flere bakdører for fremtidige utnyttelser.

Det tok ikke lang tid før Microsoft lanserte de nødvendige oppdateringene, men dette angrepet fremhevet hvor lett sårbarheter kan føre til enorme hackingkampanjer.

2. Lekkasjen av 250 millioner kundeposter

Tidlig i 2020 ble det oppdaget at Microsoft ved et uhell hadde lekket over 250 millioner kundeposter. Denne enorme eksponeringen kom som et resultat av en database som ikke var passordbeskyttet.

Mye av dataene som ble eksponert besto av samtaler mellom brukere og kundestøtterepresentanter, som fant sted mellom 2005 og 2019. Imidlertid ble mer sensitiv informasjon gitt ut i visse tilfeller, inkludert kundens IP og e-postadresser.

Det tok bare 24 timer for Microsoft å sikre databasen, men det var allerede for sent på dette tidspunktet.

3. 2016 Hotmail-legitimasjonslekkasjen

I mai 2016 begynte en rekke nyhetskanaler å rapportere et stort hack som hadde resultert i lekkasje av brukerlegitimasjon fra Google, Yahoo og Microsoft. Over 270 millioner kontolegitimasjoner ble stjålet og lagt ut for salg på ulovlige russiske markedsplasser. 33 millioner av disse var Hotmail-legitimasjon, en e-posttjeneste kjøpt av Microsoft i 1997.

Heldigvis solgte hackeren som opprinnelig var i besittelse av legitimasjonen dem til et sikkerhetsselskap i forkledning, i stedet for en annen ondsinnet person som ønsket å utnytte dem.

4. Lapsu$-databruddet i 2022

I mars 2022 bekreftet Microsoft at den var blitt angrepet av en velkjent hackergruppe kalt "Lapsu$". Dette internasjonale hackersyndikatet har skapt seg et navn ved å sikte mot mange store navn, inkludert Nvidia og Samsung.

Mens Lapsu$ pleide å målrette mot organisasjoner i Sør-Amerika og Storbritannia, har de siden rettet blikket mot flere ofre, inkludert de i USA. Denne frekke hackergruppen vendte fokuset mot Microsoft tidlig i 2022.

I dette tilfellet klarte Lapsu$ (offisielt kjent av Microsoft som "DEV-0537") å kompromittere en enkelt Microsoft-ansattkonto og få tilgang til deler av Bing, Bing Maps og Cortana-kildekoden.

Microsofts bekreftelse kom etter at Lapsu$ publiserte denne stjålne kildekoden i en torrentfil. Imidlertid påsto Microsoft i en blogg innlegg angående hendelsen at tyveri og lekkasje av kildekoden ikke utgjør en sikkerhetsrisiko for selskapet eller dets brukere.

5. Zero-Day Breach i 2010

På slutten av 2009 ble Microsoft oppmerksom på en kritisk null-dagers sikkerhetssårbarhet. Selskapet gjorde ikke noe før neste år da selskaper som Google og Adobe begynte å bli målrettet av nettkriminelle via sårbarheten.

Denne feilen tillot ondsinnede aktører å distribuere skadelig programvare på målselskapenes ansattes enheter. Den ondsinnede programvaren vil da bli utnyttet for å få tilgang til privat informasjon fra Google og Gmail.

Dette bruddet fikk Microsoft til å se spesielt dårlig ut på grunn av hvordan selskapet håndterte å utstede et rettsmiddel. Det var ikke før i januar 2010, tre måneder etter å ha lært om sårbarheten, at Microsoft ga ut en oppdatering. Det som er verre er at Microsoft opprinnelig planla å gi ut oppdateringen en måned senere, i februar.

6. Storm0558-angrepet i 2023

I 2023 ble rundt 25 organisasjoner, inkludert offentlige etater, angrepet via to sikkerhetssårbarheter fra Microsoft. Den ondsinnede skuespilleren, basert i Kina og kjent som Storm0558, klarte å stjele data fra kunder som bruker Outlook Web Access og Exchange Online.

uttalte Microsoft at det ble antatt at trusselaktøren hadde mål om spionasje. Selskapet bekreftet videre at angriperen hadde anskaffet en MSA-forbrukersigneringsnøkkel for å gjennomføre angrepet.

I følge a Wiz-undersøkelse, var det ikke bare Outlook Web Access og Exchange Online som ble berørt av hacket. Wiz rapporterte at andre Microsoft-tjenester, inkludert Teams, OneDrive og SharePoint, også kunne utnyttes ved å bruke den kompromitterte MSA-nøkkelen.

Trenger Microsoft bedre sikkerhet?

Microsoft er på ingen måte slapp med tanke på sikkerhet. Selskapet sikrer at produktene har et solid nivå av brukerbeskyttelse, bl.a to-faktor autentisering, kryptering, anti-spam-filtre, brannmurer og påloggingsvarsler.

Tilstedeværelsen av disse funksjonene vil selvfølgelig avhenge av hvilket Microsoft-produkt du bruker. For eksempel kommer Windows-operativsystemer med standard antivirusprogramvare, men Outlook vil ikke.

Flertallet av angrepene oppført ovenfor kom som et resultat av en programvaresårbarhet, så det ser ut til at flere koderevisjoner kan være svaret for Microsoft. Selskapet gjennomgår allerede revisjoner, det være seg for deres programvare eller forretningspraksis, men det ser ut til at et stort volum av sårbarheter fortsatt glir gjennom sprekkene.

Å frigi sikkerhetsoppdateringer så snart sårbarheter er identifisert kan også være lurt, selv om sårbarheten ennå ikke er misbrukt. Dette eliminerer sjansen for at Microsoft eller dets brukere blir ofre for angrep forårsaket av programvareutnyttelse.

Imidlertid vil denne praksisen kreve mye personell og ressurser, siden Microsoft har nesten 400 programvareprodukter der ute i dag.

Microsoft vil aldri være ugjennomtrengelig for hacks

Selv om Microsoft på en eller annen måte var i stand til å øke sikkerheten to ganger, ville den fortsatt ikke være 100 prosent immun mot cyberangrep. Dessverre er ingen programvare, enhet eller komponent helt trygg fra å bli utnyttet på noen måte, det være seg gjennom sårbarheter, skadelig programvare eller andre måter.