اتهام سناتور آمریکایی علیه مایکروسافت در عملیات هکری چینی ها

به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، روز پنجشنبه، او از وزارت دادگستری و چند آژانس دیگر خواست تا تحقیقات جداگانه‌ای را درباره «اقدامات سهل انگاری در امنیت سایبری» مایکروسافت، این غول فناوری که به اعتقاد او منجر به حملات سایبری شده، آغاز کنند.

حمله سطح بالا توسط هکرهای چینی بالاترین رده های کابینه ریاست جمهوری آمریکا را هدف قرار داده است.

در طول این حمله، هکرها موفق به دسترسی به ایمیل های مایکروسافت آنتونی بلینکن، وزیر امور خارجه، جینا ریموندو، وزیر بازرگانی و نمایندگان ارشد چین شده اند.

چرا وایدن مایکروسافت را مقصر می داند؟
سناتور ران وایدن، از ایالت اورگان، اتفاقاً رئیس کمیته مالی قدرتمند سنا است.

او در نامه خود به وزارت دادگستری، آژانس امنیت سایبری و امنیت زیرساخت، و کمیسیون تجارت فدرال در روز پنجشنبه، مایکروسافت را متهم می کند که حملات سایبری را از طریق شکست‌های امنیتی بزرگ ممکن می‌سازد.

هکرهای چینی موفق شده اند یک کلید رمزگذاری مورد استفاده برای خدمات حساب مایکروسافت (MSA) را به سرقت ببرند که آنها را قادر به انجام حمله کرده است.

وایدن در نامه خود استدلال می کند که این غول فناوری مشتریان خود را با استفاده از تنها یک کلید رمزگذاری شکست داده است؛ کلیدی که می تواند برای جعل دسترسی به حساب های ایمیل آژانس های دولتی بزرگ مورد استفاده قرار گیرد.

او در ادامه می افزاید:

اگرچه کلیدهای رمزگذاری سرقت شده برای حساب های مشتریان بوده است، اما هکرها به دلیل خطای اعتبارسنجی در کد مایکروسافت، توانسته اند توکن هایی را برای حساب های میزبانی شده توسط مایکروسافت برای سازمان های دولتی جعل کنند.

وایدن در ادامه می افزاید که مهندسان مایکروسافت در وهله اول نباید سیستم هایی را مستقر می کردند که چنین اصول اولیه امنیت سایبری را نقض می کنند.

او همچنین می نویسد که حتی پس از استقرار، ممیزی های امنیتی داخلی و خارجی مایکروسافت نتوانست این نقص های آشکار را شناسایی کند.

وایدن به اتهامات خود علیه مایکروسافت به دلیل سهل انگاری ادعایی این شرکت اشاره می کند که چنین کلیدهای رمزگذاری با ارزش بالایی باید در یک ماژول امنیتی سخت افزاری ذخیره می شده اند.

با این حال، تکان‌دهنده‌ترین بخش در مورد این حمله این است که کلید امنیتی دزدیده شده با وجود منقضی شدن در سال 2021 هنوز قابل استفاده بوده است.

وایدن در نامه خود خاطرنشان می کند:

توکن‌های احراز هویت امضا شده توسط یک کلید منقضی شده، هرگز نباید معتبر می‌بودند.

این سناتور از جن ایسترلی، مدیر آژانس امنیت سایبری و امنیت زیرساخت می‌خواهد که هیئت بازبینی ایمنی سایبری این حادثه را بررسی کند و چگونگی نادیده گرفتن اشتباهات مایکروسافت در طول ممیزی‌های خارجی اجباری برای پیمانکاران دولتی را مورد بررسی قرار دهد.

از لینا خان، رئیس کمیسیون تجارت فدرال خواسته شده تا بررسی کند که آیا مایکروسافت قوانین فدرال حریم خصوصی و امنیت داده، از جمله حکم رضایت امنیت سایبری را از طریق مدیریت ضعیف خود در مورد این حادثه نقض کرده است یا خیر.

دادستان کل، مریک گارلند نیز با درخواست مشابهی روبرو شده است.

یکی از سخنگویان مایکروسافت بیانیه‌ای رسمی منتشر کرده و اعلام می کند که این شرکت به همکاری با سازمان‌های دولتی و تعهد خود برای ادامه به اشتراک‌گذاری اطلاعات در وبلاگ اطلاعات تهدید مایکروسافت ادامه خواهد داد.

این غول فناوری به مشتریان خود امتیازاتی را برای کاهش تأثیر سرقت داده ارائه داده است.

باید دید آیا آژانس‌ها تصمیم می‌گیرند در پی اتهامات وایدن علیه مایکروسافت تحقیق کنند یا خیر.