Security Week 05: критические уязвимости медицинских устройств

[VitalKoshalew]

Свежие утечки данных: Microsoft почти месяц держала в открытом доступе базу данных техподдержки с информацией за 14 лет. Если база попала к злоумышленникам, она может быть использована для эффективного социального инжиниринга «от имени Microsoft», что уже сейчас на Западе является серьезной проблемой.

Социальный инжиниринг это мелочи по сравнению с тем, что в той базе должно быть! Это же база сверх-sensitive информации! Там же расписана внутренняя инфраструктура миллионов компаний, с именами серверов, кучей мельчайших деталей! Бери и взламывай любого!

Даже если, как они заявляют, с этих конкретных серверов ничего не утекло в этот раз, это не имеет значения. Самая sensitive информация, которую клиенты доверили MS, отделена от всего мира одним чекбоксом, который может кто-то случайно снять или поставить без всякой проверки. Никакого шифрования, никакой аутентификации, никаких процессов, никакого надзора.

Это, конечно же, изолированный случай, уж во всей-то остальной инфраструктуре MS такого нет! </sarcasm>

[dartraiden]

Большинство персональных данных клиентов в этой базе было намеренно искажено (в адресах электронной почты, номерах контрактов и платежной информации заменены значимые части) специальном скриптом, который применяет Microsoft.

[it_pm]

Зная алгоритм, обратно восстановить возможно?

[VitalKoshalew]

Вы никогда не заводили ticket в Microsoft? Там дампы конфигурации серверов, описание инфраструктуры, вообще всё! А MS хвалится примитивными regexp-ами типа email@domain. Бизнес-e-mail, чаще всего, вообще общедоступная информация. Ещё раз — там была самая ценная информация из всего, что MS доверяют клиенты. Никакое вымарывание по примитивным regexp-ам не поможет.