Microsoft, accesso non autorizzato agli account email dei dirigenti

Midnight Blizzard è il nome che Microsoft ha affibbiato ad un attacco hacker condotto da una mano avente legami con il governo russo e che, sfruttando una password debole, ha potuto compromettere la rete aziendale della società di Redmond e accedere ad e-mail e documenti appartenenti a componenti della compagine dirigenziale.

Secondo le informazioni fornite da Microsoft gli hacker sarebbero gli stessi (Nobelium) responsabili dell'attacco a SolarWinds avvenuto alla fine del 2020. La violazione non avrebbe portato alla sottrazione di dati relativi ai clienti, all'accesso al codice sorgente o compromesso sistemi di produzione o sistemi di intelligenza artificiale.

La società ha depositato una relazione alla Securities and Exchange Commission dove si legge:

"A partire dalla fine di novembre 2023, l'autore della minaccia ha utilizzato un attacco spray con password per compromettere un account legacy test non di produzione e stabilire una presenza all'interno della rete, utilizzando quindi i permessi dell'account per accedere ad una percentuale molto piccola di account di posta elettronica aziendali Microsoft, inclusi i membri del nostro team dirigenziale senior e i dipendenti delle nostre funzioni di sicurezza informatica, legale e di altro tipo, e hanno estratto alcune e-mail e documenti allegati.  L'indagine indica che gli hacker inizialmente stavano prendendo di mira gli account di posta elettronica per cercare informazioni relative ad essi stessi".

Microsoft ha rilevato la violazione non prima del 12 gennaio, il che ha sollevato l'ipotesi che gli hacker abbiano potuto aver accesso indisturbato agli account per circa due mesi. A quanto pare il sistema a cui gli hacker sono riusciti ad accedere era protetto da una password debole e senza alcun meccanismo di autenticazione a due fattori.

La violazione del sistema è avvenuta dopo una sessione di - come scritto nel comunicato - "password spraying", cioè l'utilizzo di varie password deboli comunemente usate assieme a password precedentemente compromesse.

Una volta ottenuto il controllo gli attaccanti hanno configurato il sistema così da riuscire ad accedere ulteriormente agli account di posta dei dirigenti, anche se evidentemente quel sistema di test era già dotato di permessi in grado di garantire un accesso di alto livello.

"Stiamo spostando l'equilibro che dobbiamo trovare tra sicurezza e rischio aziendale: il tipo di calcolo tradizionale semplicemente non è più sufficiente. Per Microsoft questo incidente ha evidenziato l'urgente necessità di muoversi ancor più velocemente. Agiremo immediatamente per applicare i nostri attuali standard di sicurezza ai sistemi legacy di proprietà di Microsoft e ai processi aziendali interni, anche quando questi cambiamenti potrebbero causare interruzioni ai processi aziendali esistenti" ha dichiarato la società a seguito dell'accaduto.