2013-ban súlyos biztonsági incidens történt a Microsoftnál, amelyet a vállalat finoman szólva sem vert nagy dobra. Legalábbis ezt a sztorit erősítették meg a Reutersnek a cég korábbi alkalmazottai.

Lecsaptak az aranybányára

A lapnak nyilatkozó öt forrás külön beszélgetéseken mondta el a történetet, amely szerint négy évvel ezelőtt egy kifinomult támadás következtében hackerek bejutottak abba az elvileg szupertitkosként kezelt belső adatbázisba, amely a vállalat szoftvereinek ismert sebezhetőségeit, hibáit tartalmazta.

Tehát bűnözők kezére jutott minden kritikus és még nem javított biztonsági rés. Nem kell túl nagy képzelőerő ahhoz, hogy elképzeljük, mire mehet egy hozzáértő, ha a gépek százmillióin megtalálható operációs rendszerhez kap praktikusan egy mesterkulcsot. A volt dolgozók szerint a hibákat minden bizonnyal néhány hónapon belül mind kijavította a Microsoft, ám a betörés és a javítás között eltelt időszakban az elkövetők szó szerint szabadon garázdálkodhattak ezekkel az értékes információkkal.

Éppen az eset súlyossága miatt lett volna elvárható, hogy a cég a nyilvánosság elé áll, és részletesen beszámol a történtekről. Erre azonban mostanáig nem került sor, sőt a Microsoft a Reuters megkeresésére sem volt hajlandó érdemben reagálni. Az ügy érdekessége, hogy 2013-ban több nagyvállalalatot, így az Apple-t, a Twittert és a Facebookot is ért kisebb-nagyobb hackertámadás. Ezeket az eseteket az érintett cégek jelezték, majd a Microsoft is megszólalt, miszerint hasonlóan a többiekhez, az ő rendszerében is észleltek ilyen támadást, ám annak hatását korlátozottnak minősítette és igyekezett jelentéktelennek beállítani az akkori incidenst, amely során felhasználói adatok nem kerültek veszélybe.

Macekről támadtak

Amennyiben igazak a hírügynökség forrásai, akkor a 2013-as ügy minden volt, csak nem jelentéktelen. Az akkori támadások mögött egy még mindig aktív csapatot sejtenek a szakértők. A több néven (Morpho, Butterfly, Wild Neutron) emlegetett internetes bűnözők háttere, támogatói köre és motivációja sem világos a mai napig. Az viszont biztos, hogy az akciót a dolgozók Macintosh gépein lévő javás hiba kihasználásával hajtották végre, aminek köszönhetően onnan bejuthattak a belső hálózatokba.

Bár a Microsoftnál az adatbázis eltulajdonításáról nyilvánosan nem beszéltek, sőt a Reuters által megkérdezett egykori kormánytisztviselőknek sem volt tudomása az ügyről, az incidens komolyságát valószínűleg pontosan becsülték fel. Ennek folyományaként például (eső után köpönyeg jelleggel) megfelelő, többszintű azonosítási folyamathoz kötötték a hozzáférést, illetve leválasztották az értékes adatokat a belső hálózatról is. (A Microsoft valószínűleg nagyon sok bugot ismerhet szoftvereiben. Ezek többségét akár az adott termék egész életciklusa alatt sem javítja, mert nem jelent biztonsági kockázatot, és nem is befolyásolja sem a program működését, sem a használatát. A 4-es Windows NT megjelenésekor elterjedt egy pletyka, mely szerint a hálózati operációs rendszert a piacra viteli kényszer miatt úgy adták ki, hogy több ezer, a fejlesztők által ismert hibát tartalmazott. Ezek között állítólag több tíz kritikus sérülékenység is volt, melyeket aztán a hibajavító csomagokkal foltoztak.)

Némi idő elteltével pedig külön vizsgálatot is tartott a cég, amelynek célja az volt, hogy megnézzék, az adatlopást közvetlenül követő időszakban történt-e olyan elektronikus támadás, ahol kimutatható a microsoftos adatbázis felhasználása. Utóbbi eredményével kapcsolatban már kicsit eltérőek az informátori beszámolók. Egyesek szerint semmi bizonyíték nincs a sebezhetőségi lista kihasználására, mások szerint a kép nem egyértelmű, illetve maga a vizsgálat sem volt olyan széles körű, hogy az abból nyert bármilyen információt perdöntőnek lehessen tekinteni. 

Volt, aki kiállt

Ilyen jellegű támadásra egyébként nem minden héten kerül sor. A most nyilvánosságra került eset leginkább a Mozilla Alapítvány 2015-ös történetével mutat hasonlóságot. Két évvel ezelőtt a Firefox böngésző mögött álló nonprofit szervezet adatbázisához jutottak hozzá hackerek. A fogás része volt tíz súlyos, még nem javított programhiba is. Ezek közül egyet bizonyítottan fel is használtak egy digitális akcióban, amelyet kifejezetten Firefox böngészőt használók ellen indítottak.

A Microsofttal ellentétben azonban a Mozilla kiállt a nyilvánosság elé és mindenről részletesen beszámolt. Mint ahogy az alapítvány képviselője a Reutersnek elmondta, nem csak azért tettek így, hogy a felhasználókat tájékoztassák és segítsenek megvédésükben, hanem azért is, mert maguknak és a hozzájuk hasonló cipőben járó vállalatoknak is szükséges az ilyen esetekból tanulnia. Arról már nem is beszélve, hogy az alapítvány sarokköve a nyitottság és az átláthatóság.