O O Conselho de Revisão de Segurança Cibernética da Agência de Segurança Cibernética e de Infraestrutura tem concluiu que a violação do serviço Exchange Online da Microsoft em junho de 2023, que comprometeu contas de altos funcionários dos EUA, poderia ter sido evitada. A violação foi atribuída a um grupo ligado à China, conhecido como “Storm-0558″. As conclusões do conselho destacam falhas significativas na cultura de segurança da informação e nas precauções de segurança na nuvem da Microsoft, necessitando de um apelo por reformas urgentes dentro da empresa.
Detalhes da violação
A violação foi facilitada por práticas desatualizadas de rotação de chaves no sistema de gerenciamento de identidade da Microsoft, a Conta de Serviços Microsoft (MSA), que não possuía rotação automatizada de chaves de assinatura ou desativação. Esse descuido permitiu que Storm-0558 usasse uma chave de 2016, concedendo-lhes acesso ao Outlook Web Access para consumidores e, posteriormente, a contas de e-mail empresariais, incluindo as do Departamento de Estado dos EUA. Os invasores conseguiram roubar aproximadamente 60.000 e-mails contendo informações confidenciais. discussões diplomáticas.
Recomendações para melhorias
O conselho recomenda uma série de ações para a Microsoft, incluindo um compromisso público de seu CEO e conselho de administração com um mudança de cultura focada na segurança, priorizando a segurança em vez do desenvolvimento de recursos e garantindo que os riscos de segurança sejam totalmente abordados antes de implantar novos recursos. Essas recomendações vêm em resposta ao que o conselho descreve como uma “cascata de erros evitáveis da Microsoft”.
A resposta da Microsoft ao incidente, a “Secure Future Initiative”, foi criticada pela falta de supervisão por parte dos executivos seniores e pela dependência excessiva da IA para melhorias de segurança. O relatório sugere que a Microsoft se desviou dos princípios delineados pelo seu CEO fundador, Bill Gates, no seu memorando de 2002 sobre Computação Confiável, que enfatizou a importância de dar prioridade à segurança e à privacidade em detrimento de novas funcionalidades. O incidente e a revisão subsequente sublinham a necessidade crítica da Microsoft reavaliar a sua abordagem à segurança, especialmente à luz da crescente sofisticação das ameaças cibernéticas.
