Vsevolod Kokorin (auch bekannt als Slonser) hat eine E-Mail-Spoofing-Sicherheitslücke auf X (ehemals Twitter) offengelegt und das Problem an Microsoft gemeldet. Microsoft hatte in den letzten Jahren mehrere Sicherheitsprobleme, die Ermittlungen sowohl von Bundesregulierungsbehörden als auch von Kongressabgeordneten auslösten. UNSERE EINSCHÄTZUNG Der Vorfall löste eine Diskussion über die Offenlegung von Sicherheitslücken und die Veröffentlichung technischer Details aus.

Die technische Gemeinschaft hat oft unterschiedliche Positionen zur Offenlegung von Sicherheitslücken: entweder das Problem dem Anbieter zu melden, um eine Behebung zu ermöglichen, oder die Veröffentlichung ausreichender Details zu vermeiden, um Hacker an der Ausnutzung zu hindern. In diesem Fall erhöht Kokorins Ansatz nicht nur die Transparenz der Schwachstellenoffenlegung, sondern schützt auch Benutzer und Unternehmen vor potenziellen Bedrohungen.

–Revel Cheng, BTW-Reporter Ein Forscher hat einen Fehler gefunden, der es jedem ermöglicht, Microsoft-E-Mail-Konten zu imitieren, was Phishing-Versuche glaubwürdiger erscheinen lässt und die Wahrscheinlichkeit erhöht, dass ihre Ziele getäuscht werden. Was geschah Letzte Woche schrieb Vsevolod Kokorin (auch bekannt als Slonser) auf X (ehemals Twitter), dass er die E-Mail-Spoofing-Lücke gefunden und an Microsoft gemeldet habe, aber das Unternehmen wies seinen Bericht zurück, nachdem es erklärte, dass es seine Ergebnisse nicht reproduzieren könne.

Dies veranlasste Kokorin, die Lücke auf X zu veröffentlichen, ohne technische Details preiszugeben, die anderen helfen könnten, sie auszunutzen. „Microsoft sagte nur, dass sie es nicht reproduzieren könnten, ohne Details zu nennen“, sagte Kokorin.

„Microsoft könnte meinen Tweet bemerkt haben, denn vor ein paar Stunden haben sie einen meiner Berichte wieder geöffnet, den ich vor mehreren Monaten eingereicht hatte.“ Während die Bedrohung durch diesen Fehler zu diesem Zeitpunkt öffentlich dokumentiert ist, hatte Microsoft in den letzten Jahren mehrere Sicherheitsprobleme, was sowohl von Bundesregulierungsbehörden als auch von Kongressabgeordneten Untersuchungen auslöste. Letzte Woche sagte Microsoft-Präsident Brad Smith in einer Anhörung im Repräsentantenhaus aus, nachdem China 2023 eine Reihe von E-Mails der US-Bundesregierung von Microsofts Servern gestohlen hatte.

In der Anhörung gelobte Smith erneute Anstrengungen, um Cybersicherheit im Unternehmen nach einer Reihe von Sicherheitspannen zu priorisieren. Auch lesen: Microsoft investiert in 7-Milliarden-Dollar-Rechenzentrum in Spanien Auch lesen: Apple überholt Microsoft und wird wertvollstes Unternehmen der Welt Warum es wichtig ist Die Sicherheitslücke betrifft Berichten zufolge Outlook-Konten, die immer noch etwa 400 Millionen Nutzer haben. Die Angriffsfläche ist also relativ groß.

Durch das Spoofing großer Marken wie Microsoft könnten Bedrohungsakteure überzeugende und äußerst gefährliche Phishing-E-Mails erstellen, daher ist die Bedrohung durch diese Sicherheitslücke real. Es ist jedoch derzeit öffentlich dokumentiert, ob Slonser der Erste war, der sie fand, oder ob jemand anderes sie bereits entdeckt und in Angriffen missbraucht hat. Microsoft wurde in letzter Zeit nach einer Reihe von Sicherheitspannen kritisiert, die es chinesischen Bedrohungsakteuren ermöglichten, auf E-Mails hochrangiger US-Regierungsmitarbeiter zuzugreifen.

Infolgedessen kündigte Microsoft eine umfassende Überarbeitung seiner Sicherheitspraktiken an und behauptete, Cybersicherheit „über alles andere“ zu stellen. Der Vorfall schadete nicht nur dem Ruf von Microsoft, sondern warf auch tiefere Bedenken hinsichtlich der Datensicherheit im öffentlichen und Unternehmenssektor auf.