Microsofts KI-Forscher veröffentlichten versehentlich 38 TByte an Unternehmens-Daten

Microsofts KI-Forscher haben sich einen Patzer geleistet und rund 38 TByte an internen Unternehmensdaten veröffentlicht. Kundendaten sind nicht betroffen gewesen. Die Redmonder versuchen den Fauxpas auch schon in einer langen Erklärung zu relativieren. So war der Fehler, dass ein SAS-Token Zugriff auf zu viele Daten erlaubte.

Eigentlich ist also geplant gewesen, über einen Link bestimmte Trainingsdaten eines Azure-Kontos mit anderen KI-Forschern bei GitHub zu teilen. Allerdings machten die Microsoft-Mitarbeiter den Fehler, Zugriff auf das gesamte Azure-Konto bzw. alle dort hinterlegten Daten zu gewähren. Deswegen wäre es möglich gewesen, über den Link allerlei interne Daten abzuräumen. Die Sicherheitsforscher von Wiz waren auf diesen Fehler gestoßen und informierten Microsoft direkt. Man erklärt den Sachverhalt erst jetzt öffentlich, um keinen Schaden zu verursachen.

Am 22. Juni 2023 wurden die Redmonder informiert und zogen den falschen SAS-Token direkt am 23. Juni 2023 zurück. Dass man nicht schon vorher tätig gewesen war, erklärte Microsoft damit, dass der Link zwar gemeldet worden sei, aber als „False Positive“ vom System markiert und damit abgehakt wurde. Inzwischen will man sein System so abgestimmt haben, dass zu „freigiebige“ SAS-Tokens direkt erkannt werden und so nicht mehr durchgehen.

Ob in diesem Fall Daten entwendet worden sind, ist nicht klar, aber Anzeichen dafür gibt es wohl nicht. Versehentlich wurden etwa Sicherungen der Workstation-Profile von zwei Mitarbeitern, interne Teams-Nachrichten und andere interne Informationen auf diese Weise offengelegt.

Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf ge­lan­gt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir ei­ne kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.