在新的一年中，Microsoft在Web上公开了近2.5亿个客户服务和支持（CSS）记录。记录包含从2005年到2023年12月的14年期间，Microsoft支持代理与来自世界各地的客户之间的对话日志。所有数据都可以通过Web浏览器访问，而无需密码或其他身份验证需要.
由鲍勃·迪亚琴科（Bob Diachenko）领导的Comparitech安全研究团队发现了五台Elasticsearch服务器，每台服务器包含的2.5亿条记录看似完全相同。当发现暴露的数据时，狄亚琴科立即通知了微软，并且微软采取了迅速行动来保护它。.
“我们感谢鲍勃·迪亚琴科（Bob Diachenko）与我们的紧密合作，以便我们能够迅速解决此错误配置，分析数据并酌情通知客户。”
–微软总经理Eric Doerr
曝光时间表
总体而言，在我们通知Microsoft并确保记录安全之前，数据已暴露了大约两天。.
- 2023年12月28日–数据库被搜索引擎BinaryEdge索引
- 2023年12月29日– Diachenko发现了数据库，并立即通知了Microsoft.
- 2023年12月30日至31日– Microsoft保护服务器和数据。迪亚琴科和微软继续进行调查和补救过程.
- 2023年1月21日–由于调查，Microsoft披露了有关暴露的其他详细信息.
迪亚琴科说：“我立即向微软报告了此情况，并在24小时内保护了所有服务器。” “除夕夜，我为MS支持团队的响应速度和快速周转率赞扬。”
我们不知道在此期间是否还有其他未授权方访问了数据库.
暴露了什么数据?
迪亚琴科（Diachenko）解释说，大部分个人身份信息（电子邮件别名，合同号和付款信息）均已删除。但是，许多记录包含纯文本数据，包括但不限于：
- 客户电子邮件地址
- IP地址
- 地点
- CSS声明和案例的描述
- Microsoft支持代理电子邮件
- 案例编号，解决方案和备注
- 内部注释标记为“机密”
暴露给Microsoft客户的数据的危险
即使从记录中删除了大多数个人身份信息，也不应低估这种暴露的危险。这些数据对于技术支持诈骗者尤其有用.
技术支持诈骗需要骗子联系用户并假装是Microsoft支持代表。这些类型的骗局非常普遍，即使诈骗者没有有关其目标的任何个人信息，他们也经常冒充Microsoft员工。毕竟，Microsoft Windows是世界上最受欢迎的操作系统.
有了详细的日志和案例信息，诈骗者更有可能成功实现目标。如果诈骗者在保护数据之前就获得了数据，他们可以通过假冒真实的Microsoft员工并引用真实的案例编号来利用它。他们可以从那里钓鱼，获取敏感信息或劫持用户设备.
Microsoft客户和Windows用户应通过电话和电子邮件警惕此类骗局。请记住，Microsoft永远不会主动联系用户来解决他们的技术问题-用户必须首先向Microsoft寻求帮助。 Microsoft员工不会要求您输入密码，也不会要求您安装TeamViewer等远程桌面应用程序。这些是技术骗子之间的常见策略.
过去的Microsoft违规和风险
这不是微软的第一个数据安全事件.
2013年，黑客入侵了该公司的秘密数据库，以跟踪其软件中的错误。该违规行为不包含任何用户信息，也从未向公众正式披露过，但路透社与五名前雇员确认了这一事件.
在2023年1月至2023年3月之间，黑客入侵了Microsoft支持代理的帐户。该公司表示，黑客有可能访问某些Outlook用户帐户的内容.
我们如何以及为什么发现了这种暴露
Comparitech与安全研究员Bob Diachenko合作，在网上查找公开的数据库。 Diachenko丰富的网络安全经验使我们能够快速而负责地向负责方披露数据泄露和暴露.
一旦Diachenko发现不正确的安全数据，他将立即采取措施识别并通知所有者。一旦数据得到保护，Comparitech就会发布一份这样的报告.
我们调查数据库的内容，以确定哪些信息公开以及它属于谁。我们的目标是通过限制对数据的访问并提高可能受到影响的人们的意识来减轻对最终用户的伤害.
以前的报告
Comparitech和Diachenko共同处理了影响数百万人的大量数据事件报告，包括：
- 网上暴露了2.67亿个Facebook用户ID和电话号码
- 来自大多数中文域的27亿个公开电子邮件地址，其中100万个包含密码
- 在网上发现1.88亿人的详细个人记录
- K12.com公开700万条学生记录
- 属于MedicareSupplement.com的500万个人记录向公众公开
- 暴露了280万个CenturyLink客户记录
- 700k Choice Hotels客户记录泄露
这是一篇关于Microsoft在Web上公开了近2.5亿个客户服务和支持记录的报道。这些记录包含了14年的对话日志，涵盖了从2005年到2019年12月的时间段。尽管大多数个人身份信息已被删除，但这种暴露仍然存在风险，尤其是对于技术支持诈骗者。安全研究员Bob Diachenko发现了这些记录，并立即通知了Microsoft。我们应该警惕此类骗局，并记住Microsoft永远不会主动联系用户来解决他们的技术问题。Comparitech和Diachenko共同处理了大量数据事件报告，以减轻对最终用户的伤害。