Microsoft: Daten von 250 Mio. Support-Vorgängen ungeschützt im Web

Die englischsprachige IT-Nachrichtenseite Betanews berichtet, dass vom Microsoft Customer-Service Daten von 250 Millionen Supportvorgängen mit Microsoft-Kunden ungeschützt im Internet zugänglich waren. Die Daten lagen auf fünf Servern, die das Security Research Team um Bob Diachenko von Comparitech entdeckte. Auf den Servern waren die Konversationen zwischen Support-Mitarbeitern von Microsoft und deren Kunden gespeichert. Die Aufzeichnungen reichen von dem Jahr 2005 bis zum Dezember 2019. Der Zugang zu den Dateien war nicht passwortgeschützt und die Daten waren auch nicht verschlüsselt. Wer die Dateien auf den Servern entdeckte, konnte sie also im Browser lesen. Anders als beispielsweise beim aktuellen Buchbinderdatengau waren in den Microsoft-Dateien die persönlichen Informationen über die Microsoft-Kunden aber großenteils bearbeitet beziehungsweise entfernt worden. Trotzdem waren in den aufgefundenen Dateien immer noch etliche sensible Daten im Klartext enthalten: Mailadressen von Kunden, IP-Addressen, Fallbeschreibungen, Ortsnamen, Microsoft-Support-Mails, Fall-Nummern, Anmerkungen zu Supportfällen und interne Notizen, die mit „vertraulich“ gekennzeichnet waren. Diachenko hat eigenen Angaben zufolge die Daten am 29. Dezember 2019 entdeckt und sofort Microsoft informiert. Vom 30.12. bis 31.12. sicherte Microsoft die Dateien vor dem unerlaubten Zugriff und begann mit der Untersuchung des Vorfalls – trotz der Feiertage rund um das Neujahr reagierten die Redmonder also sehr schnell. Am 21. Januar 2020 teilte Microsoft Informationen zu dem Vorfall mit. Laut Microsoft war eine falsche Konfiguration Grund für die Offenlegung der Dateien des Microsoft-Supports. Das Problem: Cybergangster könnten die Microsoft-Daten erbeutet haben und für Phishingangriffe nutzen.

Laut Microsoft war eine interne Customer-Support-Datenbank am 5.12.2019 falsch konfiguriert worden. Am 31.12.2019 korrigierte Microsoft diesen Fehler nach dem Hinweis von Diachenko. Diese Datenbank benutzte Microsoft für die Analyse von Supportvorgängen. Microsoft will bei der Untersuchung des Falls keine Hinweise dafür gefunden haben, dass Hacker diese Daten bereits ausgenutzt haben. Microsoft betont, dass bei den in dieser Datenbank gespeicherten Daten Informationen, die sich auf die Nutzer beziehen, grundsätzlich automatisiert entfernt werden. In Einzelfällen kann das aber unterblieben sein. In solchen Fällen informiert Microsoft die betroffenen Nutzer.