Un presunto informante de Microsoft ha alertado sobre la seguridad de la nube gubernamental tras filtrarse capturas de pantalla que sugieren que se aprobó que un ingeniero, supuestamente basado en India, recibiera registros de un entorno de nube del gobierno de EE. UU. a través del proceso de escolta de Microsoft. Aunque los documentos plantean dudas sobre los controles de acceso, no confirman que haya habido un acceso no autorizado o una brecha de seguridad.

Un presunto informante de Microsoft ha expresado su preocupación por la seguridad de la nube gubernamental después de que aparecieran capturas de pantalla que parecen mostrar la aprobación para que un ingeniero, supuestamente basado en India, recibiera registros (logs) de un entorno de nube del gobierno de EE. UU. a través del proceso de acompañamiento (escort) de Microsoft. Los documentos plantean dudas sobre los controles de acceso, pero no establecen un acceso no autorizado ni una brecha de seguridad.

Las alegaciones, compartidas por Conspiracookie en X, identifican al ingeniero de Microsoft Viraj Chokhany como el solicitante. La cuenta afirma que un informante anónimo proporcionó las imágenes y alega que Chokhany no es ciudadano estadounidense. Este artículo no ha verificado de forma independiente ni su ciudadanía ni la autenticidad de las capturas de pantalla.

Una captura de pantalla muestra una página interna de “SPO Environments” que enumera DProdMgd151 bajo “GCC-Moderate”, con el apodo “GCCM”. La misma tabla enumera la infraestructura del Departamento de Defensa por separado.

Esta distinción es importante porque la evidencia proporcionada se refiere a un entorno de nube gubernamental, no a una conexión demostrada con sistemas militares clasificados.

Otra captura de pantalla muestra el incidente 815678445, titulado “Solicitud de Escolta: GCCM- Solicitud para ver registros de GCC-M”. Nombra a Chokhany como el creador, enumera al Equipo de Escolta de O365 como el equipo propietario y marca la solicitud como resuelta. Una entrada de discusión incluye una imagen de aprobación para su alias de cuenta. La aprobación por sí sola no prueba qué información fue finalmente revelada.

Una imagen adicional muestra una solicitud para compartir registros de Geneva para dos incidentes. Las consultas visibles hacen referencia al entorno “dprodmgd151” y a definiciones de trabajos de SharePoint. Las instrucciones piden al destinatario que cargue todas las filas, las expanda para mostrar los registros completos y comparta los resultados. Las capturas de pantalla proporcionadas no muestran ningún contenido de registro devuelto.

Qué requieren las reglas de GCC de Microsoft

La descripción del servicio GCC publicada por Microsoft indica que el personal no tiene acceso permanente al contenido del cliente. Los empleados que busquen permisos elevados temporales que expongan dicho contenido deben pasar primero un proceso de selección, que incluye la verificación de la ciudadanía estadounidense, comprobaciones de antecedentes penales y otras revisiones de historial.

Sin embargo, el mismo documento señala que el soporte al cliente de GCC no ofrece ninguna garantía general sobre la ubicación física o la ciudadanía de un agente. Advierte a los clientes que no compartan información sensible hasta confirmar la autorización del destinatario. Esa distinción hace que el contenido de los registros solicitados sea fundamental para evaluar si la información protegida del cliente cruzó un límite de acceso.

Las capturas de pantalla no establecen si los registros solicitados contenían contenido de clientes cubierto por esas verificaciones de ciudadanía. Tampoco identifican al cliente gubernamental afectado ni muestran una transferencia completada. Por lo tanto, la presunta violación de FedRAMP sugerida por el informante sigue siendo una alegación, no un hallazgo de cumplimiento verificado.

Bajo el modelo de escolta digital descrito por ProPublica, el personal autorizado de EE. UU. lleva a cabo el trabajo dirigido por ingenieros en el extranjero. Su investigación encontró que algunos escoltas carecían de las habilidades técnicas necesarias para supervisar a ingenieros con mayor experiencia, debilitando la supervisión prevista.

La guía del ticket proporcionada añade contexto. Indica que “LOS ESCOLTAS NO SON INGENIEROS” y espera que los solicitantes proporcionen la información necesaria para completar sus tareas. También afirma que los escoltas ejecutarán los comandos exactamente como están escritos en el ticket y que no tienen permitido solucionar problemas. Estas instrucciones merecen un examen, pero no prueban por sí solas una mala conducta.

Anteriormente se informó sobre reportes relativos a los ingenieros de soporte de SharePoint de Microsoft basados en China. Esa información proporciona antecedentes sobre los acuerdos de soporte en el extranjero, pero no evidencia que el ingeniero identificado en estas capturas de pantalla haya actuado incorrectamente.

En agosto de 2025, el Pentágono calificó el uso de ingenieros basados en China por parte de Microsoft como una “brecha de confianza” y exigió una auditoría externa. Microsoft había anunciado el fin de su soporte para los sistemas de nube del Departamento de Defensa. Esos acontecimientos se referían a un acuerdo distinto.

Por otra parte, los ataques de día cero de SharePoint muestran por qué la seguridad gubernamental atrae tanto escrutinio. Esta alegación, sin embargo, requiere evidencia sobre los registros reales compartidos, el alcance de la aprobación y las salvaguardas antes de que se pueda establecer cualquier brecha o violación de las reglas.