Microsoft lekt klantendata via configuratiefout

Een verkeerd geconfigureerde server bij Microsoft heeft bedrijfsdata van enkele tienduizenden bedrijven gelekt. Microsoft benadrukt dat het om een fout gaat, geen kwetsbaarheid in het systeem.

Het datalek is op 24 september gemeld bij Microsoft door beveiligingsbedrijf SOCRadar. De data zelf zou volgens hen neerkomen op transactiedata tussen Microsoft en (mogelijke) klanten. Het gaat daarbij over planningen voor mogelijke implementaties of provisionering van Microsoft services.

Namen, e-mailadressen en telefoonnummers

Concreet waren namen, mailadressen, e-mailinhoud, bedrijfsnamen en telefoonnummers toegankelijk, evenals bestanden gerelateerd aan activiteiten tussen die klanten en Microsoft, of een partner van Microsoft. Volgens SOCRadar gaat het om gegevens van 65.000 organisaties in 111 landen. Het gaat om data gerelateerd aan de periode tussen 2017 en augustus 2022, schrijft BleepingComputer.

SOCRadar vond de server via haar eigen zoekportaal BlueBLeed, waarmee bedrijven gelekte data kunnen zoeken. Het claimt zo dat de server van Microsoft 2,4 terabyte aan data bevatte met een paar honderdduizend e-mails.

Misconfiguratie van een endpoint

Microsoft meldt aan BleepingComputer dat het om een onbedoelde misconfiguratie van een endpoint gaat, en dus niet om een zwakke plek in het systeem. Tegelijk heeft het ook kritiek op de partij die het datalek meldde. Die vind het niet kunnen dat zulke data wordt verzameld en doorzoekbaar is. Tegelijk zou het bedrijf volgens Microsoft de cijfers en omvang van het datalek stevig overdrijven, al Microsoft ook niet hoe groot de omvang dan wel was.

In samenwerking met Data News