Upguard Research revela múltiples fugas de datos que exponen 38 millones de registros de datos a través de los portales de Microsoft Power Apps mal configurados para permitir el acceso público. Según la empresa, las filtraciones de datos afectaron a American Airlines, Microsoft, J.B. Hunt y los gobiernos de Indiana, Maryland y la ciudad de Nueva York.  UpGuard comunicó inmediatamente el problema a Microsoft, que llegaron a la conclusión que no se trataba de un fallo de seguridad, sino de una función de la aplicación. No obstante, modificaron la configuración por defecto para evitar futuros problemas de privacidad.

Error de configuración Microsoft Power Apps expone accidentalmente datos privados de 38 millones de personas

Microsoft Power Apps son herramientas que permiten diseñar aplicaciones y crear sitios web públicos y privados de forma rápida y que permiten acceder fácilmente a datos de la organización.  

Los datos personales de millones de personas de varias partes del mundo quedaron expuestos al público debido a una débil configuración de seguridad de Microsoft Power Apps. Se trata de una plataforma utilizada para crear aplicaciones personalizadas en la nube, en pocas horas y sin conocimientos de programación.

Esto dio como resultado que datos confidenciales como números de seguro social, nombres, teléfonos y direcciones de correo electrónico de estadounidenses fueran expuestos en la red. Pero el problema también alcanzó la órbita privada, afectando a compañías como American Airlines y la propia Microsoft.

Los datos confidenciales, incluidos los estados de vacunación contra COVID-19, los números de seguridad social y las direcciones de correo electrónico, han sido expuestos debido a configuraciones predeterminadas débiles para Microsoft Power Apps.

Upguard descubrió por primera vez el problema relacionado con la OData (Open Data Protocol) APIs para un portal de Power Apps el 24 de mayo y envió un informe de vulnerabilidad a Microsoft el 24 de junio.

Según Upguard, el problema principal es que todos los tipos de datos eran públicos cuando algunos datos, como la información de identificación personal, deberían haber sido privados. La mala configuración hizo que aparecieran algunos datos privados.

Fuente: Upguard

Vía

https://blog.segu-info.com.ar/2021/08/configuracion-incorrecta-de-microsoft.html

https://hipertextual.com/2021/08/plataforma-microsoft-expone-38-millones-de-registros