Microsoft slaat mea culpa voor een datalek dat in september ontdekt werd. Gegevens van duizenden klanten zijn daarbij potentieel in gevaar gekomen, al zou de impact volgens Microsoft beperkt blijven.
In een blogpost verklaart het beveiligingsteam dat het datalek ontstond door een fout gelopen configuratie van een endpoint server. Het lek kwam op 24 september aan het licht, waarna Microsoft naar eigen zeggen onmiddellijk de nodige maatregelen nam om het lek te dichten. Volgens Microsoft gaat het om een eenmalig incident en hoeven klanten niet te vrezen voor een achterliggende kwetsbaarheid in het ecosysteem.
De softwarereus uit Redmond waarschuwt wel het lek mogelijk ongeauthoriseerde toegang heeft gegeven tot persoonlijke informatie van klanten. Het gaat daarbij om hun namen, bedrijfsnamen, mailadressen, telefoonnummers, inhoud van mails en gedeelde bestanden. Criminelen kunnen die gegevens gebruiken om gerichtere phishingaanvallen uit te voeren.
lees ook
Hoe bescherm je jezelf tegen phishing met Windows 11?
65.000 bedrijven
Microsoft blijft in het vage over hoeveel bedrijven potentieel getroffen zijn. SOCRadar, het cybersecuritybedrijf dat het lek ontdekte, plakt het dan maar zelf een nummer op. Volgens hen gaf het lek toegang tot 2,4 TB aan klantendata van meer dan 65.000 bedrijven wereldwijd. Via hun website lanceerden ze een zoektool waar bedrijven kunnen zoeken of ze in de penarie zitten.
Dat cijfer is volgens Microsoft echter een zware overdrijving. De impact van het lek zou veel beperkter zijn. Ook vinden zij dat de zoekfunctie de veiligheid en privacy van klanten onnodig in het gedrang brengt. Dergelijke tools moeten voorzien zijn van een verificatiesysteem dat garandeert dat externe partijen geen toegang kunnen krijgen tot de gegevens van bedrijven.
Microsoft zou alle betrokken bedrijven inmiddels persoonlijk op de hoogte hebben gebracht en vraagt klanten om in de eerste plaats contact met hen op te nemen om het probleem op te lossen, alvorens een derde partij onder de arm te nemen.
Het is helaas niet de enige beveiligingsincident van Microsoft die recent aan het licht kwam. Technologiemagazine Ars Technica ontdekte een kritieke fout in het verificatiesysteem voor drivers waardoor Windows-gebruikers jarenlang onwetend kwaadaardige drivers konden installeren. Dit heeft Microsoft inmiddels wel aangepakt met een update.