A Microsoft vem enfrentando nova onda de investigações e acusações de negligência na segurança sobre a invasão cibernética que permitiu à China espiar pessoas importantes da administração Biden, com alguns pesquisadores de segurança afirmando que a brecha pode ser pior do que a suspeita inicial.
A invasão chinesa, descoberta no início de julho, comprometeu caixas de entrada de e-mails não-classificados geridas pela Microsoft e pertencentes a altos funcionários do Departamento de Estado, incluindo o embaixador dos EUA na China, a secretária do Comércio, Gina Raimondo e outros, segundo fontes de alto escalão dos EUA.
Leia mais:
- Como achar erros no Windows e como resolver?
- Qual a vantagem de ter um Apple Watch?
- Microsoft vira alvo de investigação na UE após 14 anos; veja o motivo
Ataque hacker
- Detalhes completos sobre o ataque, incluindo como começou, não são públicos, mas levou a série de inquéritos do Congresso dos EUA;
- Na quinta-feira (27), o senador Ron Wyden, legislador líder em questões de segurança cibernética, pediu três investigações federais separadas sobre as “práticas negligentes de cibersegurança” da Microsoft;
- O senador afirmou que tais práticas permitiram à China a começar uma campanha de espionagem contra o governo dos EUA.
“Mesmo com os detalhes limitados que se tornaram públicos até agora, a Microsoft tem responsabilidade significante neste novo incidente”, disse Wyden em seu pedido, que foi endereçado ao Advogado-Geral Merric Garland, à presidente do FTC Lina Khan e à diretora da Agência de Infraestrutura de Segurança e Cibersegurança, Jen Easterly.
A Microsoft afirmou que os hackers obtiveram acesso à parte obscura, mas crítica de sua infraestrutura, chamada de chave de assinatura digital MSA, que foi usada para ganhar acesso aos dados de usuários.
A empresa explicou aspectos do hack em seu blog, mas como isso se desenrolou é desconhecido. A gigante de tecnologia alegou ainda que faria com que certas ferramentas que podem ajudar a detectar ataques cibernéticos se tornem de graça, após seu pagamento escalonado por esses serviços atraiu críticas após o ataque.
Um porta-voz da Microsoft disse que a empresa está trabalhando com agências do governo estadunidense e está comprometida em compartilhar informações sobre o ataque. “Este incidente demonstra os desafios envolvidos na cibersegurança na face de ataques sofisticados”, afirmou.
“Essas chaves de acesso são o segredo mais precioso que você tem”, afirmou Ami Luttwak, cofundador da empresa de segurança em nuvem Wiz, em entrevista ao The Wall Street Journal. “É como se você tivesse uma impressora para todos os passaportes do mundo: você pode ser quem você quiser.”
Pesquisadores da Wiz disseram que a chave digital obtida pelos hackers foi danificada em 2016 e não foi removida até semanas após a descoberta do ataque. O porta-voz da Microsoft alegou que as descobertas da Wiz apresentam “cenários hipotéticos de ataque” que a companhia não observou.
Chaves MSA podem ser usadas para garantir acesso aos produtos da Microsoft voltados ao consumidor, mas por conta de uma imperfeição na nuvem da Microsoft, os hackers conseguiram usar a chave roubada para acessar contas corporativas e do governo, segundo a própria empresa.
Especialistas de segurança e Wyden questionaram diversas práticas da gigante dos softwares, incluindo a aparente permissão de uso da mesma chave MSA por anos.
Orientações federais de cibersegurança, melhores práticas da indústria e as próprias recomendações da Microsoft a seus clientes ditam que as chaves de encriptação devem ser atualizadas mais frequentemente pela mesma razão que eles podem ficar comprometidos.
Senador Ron Wyden, legislador líder em questões de segurança cibernética
Certificados digitais também tiveram um papel no hack russo à SolarWinds, descoberto em 2020. Wyden também culpou a Microsoft por aquele incidente.
Apesar de especialistas terem elogiado a Microsoft por fornecer alguns detalhes sobre este último ataque, alguns pediram por mais informações, afirmando ser necessário determinar a extensão do dano e se ele pode acontecer novamente.
“Minha preocupação aqui é que não sabemos se a chave escapou”, disse Karim El-Melhaoui, principal arquiteto de segurança na empresa de segurança O3 Cyber.
Na Carta Wyden pediu ainda que o Departamento de Justiça dos EUA investigue se a Microsoft violou leis federais relacionadas a padrões de cibersegurança para pessoas do governo.
Ele também pediu à FTC que investigue a privacidade e práticas de segurança de dados da Microsoft, incluindo se as alegadas falhas de segurança em questão no hack começaram antes da expiração em dezembro de um decreto de consentimento de 20 anos que a agência impôs após incidente de segurança maior.
Por fim, o senador pediu ao Quadro de Revisão de Segurança Cibernética para rever a campanha de ciberespionagem e por que a suposta deficiência de segurança da Microsoft não foram previamente descobertas por auditores do governo.
“Manter a responsabilidade com a Microsoft por sua negligência vai requerer muito esforço do governo”, afirmou Wyden.
A carta é o último esforço de legisladores e especialistas em cibersegurança para ter um panorama maior do ataque, alegadamente patrocinado pelo Estado chinês.
Alguns especialistas em segurança cibernética consideraram o comprometimento da infraestrutura de e-mail baseada em nuvem da Microsoft excepcionalmente poderoso e impressionante.
Uma carta separada assinada por 14 senadores enviada na quarta-feira (26) pediu ao diretor de informações do Departamento de Estado um briefing não-confidencial sobre o hack no início de setembro.
A Wiz acredita que os hackers podem ter conseguido roubar dados além dos e-mails, como conversas do Microsoft Teams e documentos do SharePoint.
Formalmente, os EUA não ligaram o ataque à China, apesar de a Microsoft acusar um grupo de hackers chineses e pessoas de alto escalão e legisladores terem dito que Pequim é responsável. A China negou as acusações.
Mais de duas dúzias de organizações globais foram afetadas, segundo a Microsoft. Menos de dez organizações foram comprometidas nos EUA, com os hackers, aparentemente, acessando um número menor de contas individuais de e-mail em cada caso, afirmou o pessoal de alto escalão do governo estadunidense.
Eles descreveram que o ataque como tendo como alvo estritamente pessoas cujas comunicações tinham suposto valor de alta inteligência.
Com informações de The Wall Street Journal
Já assistiu aos novos vídeos no YouTube do Olhar Digital? Inscreva-se no canal!
Tags: