A través de un comunicado en su sitio, Microsoft confirmó que, debido a un error de configuración en una base de datos de soporte al cliente de uso interno, quedaron expuestos aproximadamente 250 millones de registros de las conversaciones entre clientes de Microsoft y el equipo de soporte de la compañía durante el período que va desde 2005 hasta diciembre de 2019; es decir, durante los últimos 14 años.

Asistencia al cliente de Microsoft

 Microsoft confirmó exposición de datos como consecuencia de un error en la configuración de un servidor que contenía los registros de conversaciones entre el equipo de soporte técnico y los clientes.

En una entrada de blog, Microsoft confirmó que debido a la mala configuración de las reglas de seguridad añadidas al servidor en cuestión el 5 de diciembre de 2019, se permitió la exposición de los datos. El servidor permaneció en ese estado hasta que los ingenieros corrigieron la configuración el 31 de diciembre de 2019.

El hallazgo fue realizado por el investigador Bob Diachenko, quien reportó a la compañía el error una vez que lo identificó.

Microsoft también comunicó que la base de datos se construyó utilizando herramientas automatizadas para eliminar la información que identificaba de forma personal a la mayoría de los clientes, excepto en algunos escenarios, en los que dicha información no cumplía el formato estándar.



«Nuestra investigación confirmó que la gran mayoría de los registros fueron eliminados de la información personal, de acuerdo con nuestras prácticas estándar», dijo Microsoft.

Según explica el investigador responsable del hallazgo, muchos de los registros presentes en la base de datos contenían la siguiente información de los clientes:

• Dirección de correo
• Dirección IP
• Ubicación
• Descripciones del caso y del servicio de soporte al cliente
• Dirección de correo del agente de soporte al cliente de Microsoft
• Número del caso, resolución y comentarios
• Notas internas señaladas como “confidenciales”

 Al tener a mano información real de casos sensibles y direcciones de correo electrónico de los clientes afectados, los datos filtrados podrían ser objeto de abuso por parte de estafadores de soporte técnico para engañar a los usuarios y hacerles pagar por problemas informáticos inexistentes, haciéndose pasar por representantes de soporte de Microsoft.

Fuentes:
https://unaaldia.hispasec.com/2020/01/250-millones-de-registros-de-asistencia-al-cliente-de-microsoft-expuestos.html
https://www.welivesecurity.com/la-es/2020/01/24/microsoft-exposicion-registros-usuarios-soporte-tecnico-cliente/