Microsoft는 보안 회사에 BlueBleed 구성 오류의 영향을 과장할 것을 촉구합니다.

1년 전에 우리는 Power Apps 포털에 기본 구성을 사용한 Microsoft 고객이 결국 수백만 개의 내부 레코드를 노출했다는 사실을 알게 되었습니다. 비슷한 맥락에서 Redmond에 기반을 둔 기술 대기업은 고객 데이터도 노출된 유사한 구성 오류에 대한 경고를 발표했습니다.

MSRC(Microsoft Security Response Center) 는 9월 24일 SOCRadar의 보안 연구원들에 의해 “BlueBleed”라는 문제를 알게 되었음을 설명하는 백서를 발표 했습니다. 고객 및 승인된 파트너는 공개적으로 사용할 수 있습니다. 이름, 이메일 주소, 이메일 내용, 회사 이름, 전화번호 및 첨부 파일이 위험에 처했습니다.

Microsoft는 SOCRadar 보고서 를 인정했지만 공개에 대한 보안 회사의 대응에 실망감을 표시했습니다. SOCRadar 보고서의 수치는 과장되었으며 회사는 111개국 65,000개 조직의 데이터를 노출한 “최근 몇 년 동안 가장 큰 B2B 누출 중 하나”라고 말했습니다. Microsoft는 문제의 많은 데이터가 단지 중복되었으며 이러한 잘못된 구성의 범위가 SOCRadar에 의해 과장되었다고 주장합니다. 그는 기술 대기업 Redmond가 불평한 후에도 회사가 블로그 게시물을 업데이트하지 못한 것을 한탄했습니다.

또한 Microsoft는 SOCRadar에 자체 위협 탐지 도구를 광고할 것을 요청하면서 “고객의 개인 정보 또는 보안 이익에 도움이 되지 않으며 잠재적으로 고객을 불필요한 위험에 노출시킬 수 있다”고 말했습니다. 대신 그는 유사한 도구를 사용하는 보안 회사에 대한 자신의 권장 사항을 강조했습니다.

• 사용자가 자신이 주장하는 사람인지 확인하기 위해 합리적인 검증 시스템을 구현합니다.
• 이 확인된 사용자와 관련된 정보에만 제공되는 결과를 제한하는 데이터 최소화 원칙을 따릅니다.
• 해당 회사가 데이터에 영향을 미친 고객을 합리적으로 확실하게 결정할 수 없는 경우 다른 고객에 속할 수 있는 정보(메타데이터/파일 이름 포함)를 해당 사용자에게 공개하지 마십시오.

Microsoft는 휴지통에 대한 무단 액세스 가능성에도 불구하고 조사 결과 엔드포인트에서 그러한 활동이 없었다고 설명했습니다. 그럼에도 불구하고 문제는 이미 해결되었으며 회사는 영향을받는 고객에게 연락했습니다.