Büyük bir pazar payına sahip olan Microsoft'un ciddi veri ihlallerine maruz kalması doğaldır. İşte en geniş çapta etkili olan hack'lerden bazıları.
Microsoft şüphesiz kuruluşundan bu yana herkesin tanıdığı bir isim haline geldi, ancak geçmişi pek de temiz değil. Yıllar boyunca Microsoft, birçoğu kullanıcı verilerini tehlikeye atan uzun bir güvenlik olayları listesine maruz kaldı. Peki 21. yüzyılın en büyük Microsoft hack'leri neler? Peki bu teknoloji devinin daha iyi bir güvenliğe ihtiyacı var mı?
1. 2021 Exchange Sunucusu İhlali
2021'in en başında, 3 Ocak'ta, Microsoft'un Exchange platform sunucuları, dört sıfır gün yazılım güvenlik açığı nedeniyle tehlikeye atılmaya başladı.
Saldırının kapsamı aynı yılın Mart ayına kadar netlik kazanmadı; 30.000'den fazla ABD merkezli kuruluş, Microsoft Exchange kodundaki bu yazılım kusurları aracılığıyla saldırıya uğradı. Toplamda 250.000'den fazla bireysel Exchange sunucusu saldırıya uğradı ve bunların 7.000'i İngiltere merkezliydi. Norveç ve Şili'nin de aralarında bulunduğu diğer ülkeler de etkilendi.
Bu saldırıda çalınan veriler arasında sunucu kullanıcılarının e-posta adresleri ve şifreleri yer alıyordu. Ayrıca saldırganlar gelecekteki saldırılar için daha fazla arka kapı ekleyebilir.
Microsoft'un gerekli yamaları yayınlaması uzun sürmedi ancak bu saldırı, güvenlik açıklarının ne kadar kolay bir şekilde büyük bilgisayar korsanlığı kampanyalarına yol açabileceğinin altını çizdi.
2. 250 Milyon Müşteri Kaydının Sızıntısı
2020'nin başlarında Microsoft'un yanlışlıkla 250 milyondan fazla müşteri kaydını sızdırdığı keşfedildi. Bu büyük risk, parola korumalı olmayan bir veritabanının sonucu olarak ortaya çıktı.
Açığa çıkan verilerin çoğu, kullanıcılar ile müşteri destek temsilcileri arasında 2005 ile 2019 yılları arasında gerçekleşen görüşmelerden oluşuyordu. Ancak belirli durumlarda müşteri IP'si ve e-posta adresleri de dahil olmak üzere daha hassas bilgiler yayımlandı.
Microsoft'un veritabanının güvenliğini sağlaması yalnızca 24 saat sürdü, ancak bu noktada zaten çok geçti.
3. 2016 Hotmail Kimlik Bilgileri Sızıntısı
Mayıs 2016'da çok sayıda haber kaynağı, kullanıcı kimlik bilgilerinin Google, Yahoo ve Microsoft'tan sızdırılmasına yol açan büyük bir hack olayını bildirmeye başladı. 270 milyondan fazla hesap bilgisi çalındı ve yasa dışı Rus pazaryerlerinde satışa sunuldu. Bunların 33 milyonu, Microsoft'un 1997'de satın aldığı bir e-posta hizmeti olan Hotmail kimlik bilgileriydi.
Şans eseri, başlangıçta kimlik bilgilerine sahip olan bilgisayar korsanı, bunları istismar etmek isteyen başka bir kötü niyetli kişi yerine, bunları kılık değiştirmiş bir güvenlik şirketine sattı.
4. 2022 Lapsu$ Veri İhlali
Mart 2022'de Microsoft, bir saldırının gerçekleştiğini doğruladı. tanınmış hacker grubu "Lapsu $" denir. Bu uluslararası bilgisayar korsanlığı örgütü, aralarında Nvidia ve Samsung'un da bulunduğu birçok büyük ismi hedef alarak adından söz ettirdi.
Lapsu$, Güney Amerika ve Birleşik Krallık'taki kuruluşları hedef alırken, o zamandan beri gözlerini ABD'dekiler de dahil olmak üzere başka kurbanlara da dikti. Bu küstah bilgisayar korsanlığı grubu, 2022'nin başlarında odağını Microsoft'a çevirdi.
Bu örnekte, Lapsu$ (Microsoft tarafından resmi olarak "DEV-0537" olarak bilinir) tek bir Microsoft çalışanının hesabını ele geçirmeyi ve Bing, Bing Haritalar ve Cortana kaynak kodunun bazı bölümlerine erişmeyi başardı.
Microsoft'un onayı, Lapsu$'un çalınan bu kaynak kodunu bir torrent dosyasında yayınlamasının ardından geldi. Ancak Microsoft'un iddia ettiği Blog yazısı Kaynak kodunun çalınması ve sızdırılmasının şirket veya kullanıcıları açısından bir güvenlik riski oluşturmadığı olayla ilgili olarak;
5. 2010 Sıfır Gün İhlali
2009'un sonlarında Microsoft kritik bir durumun farkına vardı sıfır gün güvenlik açığı. Şirket, bir sonraki yıl Google ve Adobe gibi şirketlerin bu güvenlik açığı nedeniyle siber suçlular tarafından hedef alınmaya başlamasına kadar herhangi bir işlem yapmadı.
Bu kusur, kötü niyetli aktörlerin hedef şirketlerin çalışan cihazlarına kötü amaçlı yazılım yerleştirmesine olanak tanıdı. Kötü amaçlı yazılım daha sonra Google ve Gmail'deki özel bilgilere erişmek için kullanılacaktır.
Bu ihlal, şirketin bir çözüm sunma biçimi nedeniyle Microsoft'un özellikle kötü görünmesine neden oldu. Microsoft, güvenlik açığının öğrenilmesinden üç ay sonra, Ocak 2010'da bir yama yayımladı. Daha da kötüsü, Microsoft başlangıçta yamayı bir ay sonra, Şubat ayında yayınlamayı planlamıştı.
6. 2023 Storm0558 Saldırısı
2023 yılında aralarında devlet kurumlarının da bulunduğu yaklaşık 25 kuruluş, Microsoft'un iki güvenlik açığı nedeniyle saldırıya uğradı. Çin merkezli ve Storm0558 olarak bilinen kötü niyetli aktör, Outlook Web Access ve Exchange Online kullanan müşterilerden veri çalmayı başardı.
Microsoft belirtti Tehdit aktörünün casusluk amaçları olduğuna inanılıyordu. Şirket ayrıca saldırganın, saldırıyı gerçekleştirmek için MSA tüketici imzalama anahtarını ele geçirdiğini doğruladı.
Bir göre Wiz soruşturmasıSaldırıdan etkilenenler yalnızca Outlook Web Access ve Exchange Online değildi. Wiz, güvenliği ihlal edilen MSA anahtarı kullanılarak Teams, OneDrive ve SharePoint dahil olmak üzere diğer Microsoft hizmetlerinden de yararlanılabileceğini bildirdi.
Microsoft'un Daha İyi Güvenliğe İhtiyacı Var mı?
Microsoft güvenlik açısından hiçbir şekilde gevşek değildir. Şirket, ürünlerinin aşağıdakiler de dahil olmak üzere sağlam düzeyde kullanıcı korumasına sahip olmasını sağlar: iki faktörlü kimlik doğrulama, şifreleme, anti-spam filtreleri, güvenlik duvarları ve oturum açma uyarıları.
Elbette bu özelliklerin varlığı, kullandığınız Microsoft ürününe bağlı olacaktır. Örneğin, Windows işletim sistemleri varsayılan antivirüs yazılımıyla birlikte gelir, ancak Outlook gelmez.
Yukarıda listelenen saldırıların çoğunluğu bir yazılım güvenlik açığının sonucu olarak gerçekleşti, bu nedenle Microsoft'un cevabı daha fazla kod denetimi olabilir gibi görünüyor. Şirket, ister yazılım ister iş uygulamaları olsun, halihazırda denetimlerden geçiyor ancak görünen o ki çok sayıda güvenlik açığı hala gözden kaçıyor.
Güvenlik açığı henüz kötüye kullanılmamış olsa bile, güvenlik açıkları tespit edilir edilmez güvenlik yamalarının yayınlanması da akıllıca olabilir. Bu, Microsoft'un veya kullanıcılarının yazılım açıklarından kaynaklanan saldırıların kurbanı olma olasılığını ortadan kaldırır.
Ancak Microsoft'un bugün neredeyse 400 yazılım ürünü olması nedeniyle bu uygulamalar çok fazla personel ve kaynak gerektirecektir.
Microsoft Hiçbir Zaman Hacklere Karşı Korumasız Kalmayacak
Microsoft güvenliğini bir şekilde iki kat artırmayı başarsa bile siber saldırılara karşı yüzde 100 bağışıklı olmayacak. Maalesef hiçbir yazılım programı, cihaz veya bileşen; güvenlik açıkları, kötü amaçlı yazılımlar veya başka yollarla herhangi bir şekilde istismar edilmeye karşı tamamen güvenli değildir.