A Microsoft anunciou hoje uma violação de dados que afetou um de seus bancos de dados de clientes.
O artigo do blog, intitulado Erro de Configuração de Acessos para Bancos de Dados de Suporte ao Cliente, admite que entre 5 de dezembro de 2019 e 31 de dezembro de 2019, um banco de dados usado para “análise de casos de suporte” estava efetivamente visível na nuvem para o mundo.
A Microsoft não forneceu detalhes sobre o tamanho do banco de dados. No entanto, o site Comparitech, que afirma ter descoberto os dados desprotegidos on-line, relata que cerca de 250 milhões de registros foram expostos, contendo:
… registros de conversas entre agentes de suporte da Microsoft e clientes de todo o mundo, abrangendo um período de 14 anos, de 2005 a dezembro de 2019.
De acordo com o Comparitech, esses mesmos dados estavam acessíveis em cinco servidores Elasticsearch.
O Compartitech informou a Microsoft, e a empresa rapidamente protegeu os dados. A declaração oficial da Microsoft é de que “informações pessoais já haviam sido excluídas da grande maioria dos registros”, o que significa que utilizava ferramentas automatizadas para procurar e remover dados privados.
No entanto, alguns dados particulares que deveriam ter sido editados não foram alterados e permaneceram visíveis nas informações expostas.
A Microsoft não disse que tipo de informação pessoal estava envolvida ou quais campos de dados acabaram sem anonimato. Apesar disso, deu um exemplo de dados que seriam deixados para trás: endereços de e-mail com espaços adicionados por engano não foram reconhecidos como dados pessoais e, portanto, escaparam ao anonimato.
Portanto, se seu endereço de e-mail fosse registrado como “nome@exemplo.com“, seus dados seriam convertidos em um formato inofensivo, enquanto “nome[espaço]@exemplo.com” (um erro fácil para um funcionário de suporte ao capturar dados) teria sido deixado inalterado.
A Microsoft prometeu notificar qualquer pessoa cujos dados foram expostos inadvertidamente dessa maneira, mas não informou qual porcentagem de todos os registros foi afetada.
O que fazer?
“Não sabemos quantas pessoas foram afetadas ou exatamente quais dados pessoais foram abertos para esses usuários. Também não sabemos quem mais, além da Comparitech, pode ter acessado estes dados nas três semanas em que ficaram expostos, embora a Microsoft diga que “não encontrou nenhum uso malicioso”.
Assumimos que, se o consumidor não receber um alerta da Microsoft, mesmo que tenha entrado em contato com o suporte durante o período de 2005 a 2019, seus dados não estavam no banco de dados exposto ou, na verdade, não havia informações o suficiente para permitir a qualquer pessoa, incluindo a própria Microsoft, identificá-lo.
“Centenas de milhões de registros foram expostos, mas parece que relativamente poucas pessoas realmente tinham endereços de e-mail reconhecíveis no banco de dados vazado. Em outras palavras, a maioria das pessoas na verdade não receberão alertas da Microsoft – mas talvez recebam “avisos” de cibercriminosos que afirmam ser da Microsoft”, afirma Paul Ducklin, principal pesquisador da Sophos.
“Lembre-se: não clique nos links dos avisos de segurança, mesmo que você pense que são reais. Dessa forma, você evitará entrar em sites de phishing por engano e não colocará sua senha onde não deveria. Encontre o seu próprio caminho para as páginas de login que você usa e nunca se deixe enganar pelos dados de contato fornecidos em um e-mail”, completa Paul.
