AI-onderzoekers van Microsoft hebben door een verkeerd geconfigureerd token 38 terabyte aan interne data gelekt, waaronder private keys, wachtwoorden en meer dan dertigduizend interne Microsoft Teams-berichten. Dat laat securitybedrijf Wiz.io weten, dat het probleem ontdekte. Microsoft stelt dat er geen gegevens van klanten zijn gelekt en geen andere interne diensten vanwege de fout risico hebben gelopen.

De twee onderzoekers deelden gegevens via een Azure-feature genaamd SAS-tokens, waarmee het mogelijk is om data van Azure Storage-accounts te delen. De feature genereert hiervoor een link waarmee bepaalde bestanden zijn te delen. De link werd vervolgens door de onderzoekers via een publieke GitHub-repository gedeeld. Door de configuratiefout werden niet bepaalde bestanden maar het gehele account gedeeld, waaronder 38 terabyte aan interne bestanden.

Het ging ook om een back-up van de werkstations van de twee Microsoft-medewerkers. In de back-ups stonden onder andere private keys, wachtwoorden en meer dan dertigduizend interne Microsoft Teams-berichten van 359 Microsoft-medewerkers. De configuratiefout betrof niet alleen het delen van teveel bestanden, maar gaf gebruikers ook de 'full control' permissie in plaats van read-only rechten. Daardoor kon een aanvaller de bestanden in het account zowel bekijken, als aanpassen en verwijderen.

Volgens de beveiligingsonderzoekers die het probleem ontdekten is dit met name interessant, omdat het account oorspronkelijk bedoeld was voor het ontwikkelen van AI-modellen. Het SAS-token werd voor het eerst op 20 juli 2020 via GitHub gedeeld. Onderzoekers van Wiz vonden het token op 22 juni van dit jaar. Twee dagen later werd het token door Microsoft ingetrokken. Het techbedrijf laat weten dat de twee betreffende medewerkers niet meer voor Microsoft werken.