Un teenager viola un database Microsoft da 17 trilioni di record
Scoperta una grave falla nella piattaforma Titan: accessibili dati di 25.000 dipendenti e miliardi di record tramite una debole autenticazione.
Un giovane hacker, noto come Faav, è riuscito a violare il database Titan di Microsoft sfruttando una vulnerabilità nell'autenticazione degli accessi. Utilizzando Antares, un orchestratore AI sviluppato ad hoc, Faav ha individuato un endpoint API privo di adeguata protezione, che accettava query SQL senza richiedere una reale verifica della firma digitale del token JWT.
Questo errore ha permesso all'hacker di ottenere privilegi amministrativi e accedere a 25.000 record sensibili di dipendenti, oltre a dati organizzativi, dashboard e analytics, inclusi quelli relativi a Bing. Sommando le righe presenti nei database accessibili, Faav ha calcolato un totale di 17 trilioni di record disponibili.
La falla è stata individuata dopo un'analisi dettagliata delle API e dei file di configurazione rintracciati tramite archivi web pubblici. Faav ha poi segnalato la vulnerabilità tramite il programma di bug bounty di Microsoft, ricevendo una ricompensa monetaria. L'episodio evidenzia come l'automazione AI e l'intuizione umana, unite, rappresentino strumenti potenti anche per la cybersecurity offensiva.
