Microsoft stopte desastreus hack van bug-database in doofpot

 
Software vertoont lekken, en die dienen zo snel mogelijk gepatched te worden. Ontdekte lekken waaraan gewerkt moet worden, bewaart Microsoft in een interne database. Wie die database in handen heeft, krijgt te lezen welke achterpoortjes in onder andere Windows nog open staan, en waar ze zich precies bevinden. In 2013 maakten hackers net die gegevens prijs, maar dat komt nu pas aan het licht.
 
Reuters weet op het gezag van vijf werknemers bij Microsoft (waarvan drie ex-werknemers) dat een klein hack vier jaar geleden enorme gevolgen had. Een gevaarlijke hackersgroepering die onder de namen Wild Neutron en Morpho bekend staat, kraakte toen een aantal bedrijven waaronder Microsoft, Apple, Facebook en Twitter. De hackers maakten gebruik van een lek in Java op Apple-computers. Microsoft heeft zelf Business Unit voor Mac en langs daar konden de cybercriminelen zich een weg naar binnen forceren. Destijds communiceerde Microsoft over de inbraak alsof het om een klein probleempje ging, en de hackers geen toegang hadden gekregen tot belangrijke informatie.
 

Bug-database

Nu blijkt dat ze zich een weg gebaand hadden naar de bug-database. Die maakte het mogelijk om doelgerichte aanvallen te ontwikkelen en binnen te breken bij gewone gebruikers maar ook bedrijven en zelfs overheden. Microsoft zelf claimt dat de gestolen bugs nooit gebruikt werden, maar tegenover Reuters merken drie van de vijf werknemers op dat zo’n gebruik moeilijk te traceren is.
 
[related_article id=”172942″]  
Gezien de expertise van de hackers is de kans groot dat de lekken gebruikt werden voor bedrijfs- of overheidsspionage, en niet om jan met de pet lastig te vallen. Een goed geschreven exploit blijft anoniem op een computer, en zorgt niet voor crashes. Microsoft baseert zich voor zijn inschatting van het gebruik op automatische crashreports die er dus niet zouden zijn. Bovendien zijn de meest waarschijnlijke doelwitten net de organisaties die automatische crashrapporten zouden uiitschakelen.
 

Precedent

Microsoft is nog maar het tweede bedrijf dat zijn bugdatabase gestolen ziet. Enkel Mozilla, gekend van de Firefox-browser, kreeg ooit al met een gelijkaardig scenario te kampen. Mozilla communiceerde toen wel onmiddellijk op een heel transparante manier over het voorval, en waarschuwde zijn gebruikers om de nodige maatregelen te nemen.
 
[related_article id=”172304″]  
Volgens Reuters was de bugdatabase van Microsoft in 2013 oonvoldoende beveiligd. Ze zat mee in het bedrijfsnetwerk en was toegankelijk via wachtwoordauthenticatie. Sinds het hack heeft Microsoft maatregelen genomen. De database is nu afgeschermd, en is enkel toegankelijk na tweestapsverificatie.
 

GDPR

Voor populaire softwarebouwers is de bug-database zowat het gevoeligste bezit, naast intellectueel eigendom. Wie zo’n database buitmaakt, krijg tin essentie een loper te pakken waarmee hij naar believen softwaredeurtjes kan openen. Dat Microsoft niet communiceerde over het hack is begrijpelijk vanuit een zakelijk standpunt aangezien het voor onrust zou zorgen, maar het is desalniettemin onethisch. Aangezien Microsoft in Europa actief is, valt een dergelijk groot hack vanaf 25 mei 2018 onder de GDPR-wetgeving. Microsoft zou de kraak op straffe van zware boetes binnen de 72 uur bekend moeten maken.
 
//www.smartbiz.be/achtergrond/172942/je-wifinetwerk-lek-wat-je-moet-weten/