Microsoft werd beschuldigd van "flagrante verwaarlozing" van cyberveiligheid

Algemeen directeur van IT-bedrijf Tenable Amit Yoran openbaar gemaakt een incident dat die houding illustreert Microsoft op het gebied van cyberveiligheid "het is nog erger dan je denkt" - het bedrijf negeert kwesties op het gebied van gegevensbescherming en stelt onnodig de correctie van zijn eigen fouten uit.

Het laatste grote cyberbeveiligingsincident in Microsoft vond plaats op 12 juli, toen de Chinese hackergroep Storm-0558 het Azure-cloudplatform hackte. De aanval trof ongeveer 25 organisaties en leidde tot de diefstal van vertrouwelijke correspondentie van Amerikaanse overheidsfunctionarissen. Volgens de deskundige is Microsoft toont systematisch een minachting voor gegevensbescherming aan: Tenable slaagde erin een nieuwe kwetsbaarheid in de Azure-infrastructuur te ontdekken, en de softwaregigant deed er te lang over om deze te repareren.

De bug werd in maart ontdekt en gaf potentiële aanvallers toegang tot vertrouwelijke gegevens, waaronder de bronnen van een van de banken. Dat heeft Tenable gemeld Microsoft over de kwetsbaarheid, maar laatstgenoemde duurde ‘meer dan 90 dagen om een ​​gedeeltelijke oplossing uit te rollen’, wat echter alleen geldt voor ‘nieuwe apps die door de dienst worden geladen’. Organisaties die risico lopen, waaronder dezelfde bank die "de dienst lanceerde voordat de patch werd uitgebracht", zijn nog steeds blootgesteld aan de kwetsbaarheid en zijn zich waarschijnlijk niet bewust van het risico.

Microsoft is van plan om het probleem eind september eindelijk op te lossen, wat de deskundige karakteriseert als ‘extreme onverantwoordelijkheid, zo niet flagrante minachting’. Bovendien zit volgens Google Project Zero 42,5% van alle zero-day-kwetsbaarheden die sinds 2014 zijn ontdekt in producten Microsoft. Wiz meldde onlangs dat de inbreuk op Azure ernstiger gevolgen kan hebben dan aanvankelijk werd gedacht, maar in Microsoft haar conclusies werden verworpen.

Ondertussen reageerde de senior director van Microsoft, Jeff Jones, op de kritiek van Joran. “We stellen het op prijs om met de [cyber]beveiligingsgemeenschap samen te werken om productproblemen op verantwoorde wijze bekend te maken. We volgen een uitgebreide procedure die grondig onderzoek, ontwikkeling van updates voor alle versies van getroffen producten en compatibiliteitstests met andere besturingssystemen en applicaties omvat. De ontwikkeling van beveiligingsupdates is immers een delicaat evenwicht tussen tijdigheid en kwaliteit met maximale bescherming voor klanten en minimale verstoring voor hen", citeerde de verklaring van de topmanager The Verge.

Lees ook:

• Hackers uit Rusland gebruikten het Microsoft Teams gaan Amerikaanse bedrijven bespioneren
• Microsoft zal de werking van Windows 11 met gamingmonitors verbeteren