В Bing устранили уязвимость, открывавшую доступ к данным пользователей и манипуляциям поисковой выдачей

Microsoft исправила серьёзную проблему в системе безопасности поисковой машины Bing — она открывала несанкционированный доступ к данным пользователей платформы и сотрудников самой корпорации, а также позволяла манипулировать результатами веб-поиска, сообщает The Wall Street Journal.

Проблему обнаружила специализирующаяся на кибербезопасности израильская компания Wiz — она была вызвана ошибкой в конфигурации облачной платформы Azure. Microsoft внесла необходимые исправления 2 февраля, то есть за пять дней до появления функций генеративного ИИ в Bing. Проблема с неправильной конфигурацией затронула небольшое число приложений, использовавших механизм входа в систему Azure Active Directory, уточнили в Microsoft.

Доказательств злонамеренной эксплуатации уязвимости обнаружено не было, добавили в Wiz, но неясно, как долго она была открыта для хакеров — возможно, что даже несколько лет. Один из сотрудников компании рассказал, что ему удалось получить доступ к веб-сайту, которым сотрудники Microsoft пользовались для создания викторин в Bing. Из-за ошибки в конфигурации Azure любой владелец бесплатной учётной записи Microsoft мог при помощи этого сайта менять содержимое поисковой выдачи Bing по отдельным запросам. И этой возможностью эксперты тоже воспользовались, подставив ссылку на фильм «Хакеры» (Hackers) 1995 года в выдачу по запросу «лучшие саундтреки».

Затем они обнаружили более серьёзную угрозу: возможность получить доступ к электронной почте, документам, календарям и другим данным пользователей Microsoft 365 — злоумышленники могли использовать его для кражи конфиденциальных данных, фишинговых рассылок и взлома других систем. Кроме того, они выявили в облаке Azure около тысячи сайтов с аналогичными проблемами, и не меньше десятка из них принадлежали сотрудникам самой Microsoft. «Если это могло случиться с Microsoft, это могло случиться с любым, кто пользовался Azure», — заключил технический директор Wiz Ами Луттвак (Ami Luttwak).