Grupa hakerska Lapsus$, znana z tego, że twierdzi, że w tym tygodniu zhakowała Nvidię, Samsunga i nie tylko twierdził, że zhakował nawet Microsoft. Grupa opublikowała plik, który, jak twierdzi, zawiera częściowy kod źródłowy Binga i Cortany w archiwum zawierającym prawie 37 GB danych. We wtorek wieczorem, po przeprowadzeniu dochodzenia, Microsoft potwierdził, że grupa, która nazywa DEV-0537, włamała się na „jedno konto” i ukradła części kodu źródłowego niektórych swoich produktów. Post na blogu na stronie poświęconej bezpieczeństwu mówi, że śledczy Microsoftu śledzą grupę Lapsus$ od tygodni i szczegółowo opisują niektóre metody, których użyli do złamania zabezpieczeń systemów ofiar. Według Microsoft Threat Intelligence Center (MSTIC), „celem aktorów DEV-0537 jest uzyskanie zwiększonego dostępu za pomocą skradzionych danych uwierzytelniających, które umożliwiają kradzież danych i destrukcyjne ataki na wybraną organizację, często skutkujące wymuszeniem. Taktyka i cele wskazują, że jest to cyberprzestępca motywowany kradzieżą i zniszczeniem”. „Microsoft nie polega na tajności kodu jako środka bezpieczeństwa” Microsoft utrzymuje, że wyciekający kod nie jest wystarczająco poważny, aby spowodować wzrost ryzyka, a jego zespoły reagowania zamykają hakerów w trakcie operacji. Lapsus$ ostatnio się rozdarł, jeśli wierzyć jego twierdzeniom. Grupa twierdzi, że miała dostęp do danych Okta, Samsunga i Ubisoftu, a także Nvidii, a teraz Microsoftu. Podczas gdy firmy takie jak Samsung i Nvidia przyznały, że ich dane zostały skradzione, Okta odrzuciła twierdzenia grupy, że ma dostęp do swojej usługi uwierzytelniania, twierdząc, że „usługa Okta nie została naruszona i nadal działa”. Microsoft:
W tym tygodniu aktor ogłosił publicznie, że uzyskał dostęp do Microsoftu i wydobył fragmenty kodu źródłowego. W obserwowanych działaniach nie był zaangażowany żaden kod klienta ani dane. Nasze dochodzenie wykazało, że jedno konto zostało naruszone, co zapewnia ograniczony dostęp. Nasze zespoły ds. cyberbezpieczeństwa szybko zajęły się naprawą naruszonego konta i zapobieganiem dalszej aktywności. Firma Microsoft nie polega na tajności kodu jako środka bezpieczeństwa, a przeglądanie kodu źródłowego nie prowadzi do podwyższenia ryzyka. Taktyka DEV-0537 zastosowana w tym wtargnięciu odzwierciedla taktyki i techniki omówione na tym blogu. Nasz zespół już badał zhakowane konto na podstawie informacji o zagrożeniach, kiedy aktor publicznie ujawnił ich włamanie. To publiczne ujawnienie nasiliło nasze działania, umożliwiając naszemu zespołowi interwencję i przerwanie działania aktora w trakcie operacji, ograniczając szerszy wpływ.
To nie pierwszy raz, kiedy Microsoft twierdzi, że zakłada, że atakujący uzyskają dostęp do jego kodu źródłowego — powiedział to samo po ataku Solarwinds. Lapsus$ twierdzi również, że otrzymał tylko około 45 procent kodu dla Bing i Cortana oraz około 90 procent kodu dla Bing Maps. Ten ostatni wydaje się mniej wartościowym celem niż dwa pozostałe, nawet jeśli Microsoft martwił się, że jego kod źródłowy ujawnia luki w zabezpieczeniach. W swoim poście na blogu Microsoft przedstawia szereg kroków, jakie inne organizacje mogą podjąć, aby poprawić swoje bezpieczeństwo, w tym wymaganie uwierzytelniania wieloskładnikowego, nieużywanie „słabych” metod uwierzytelniania wieloskładnikowego, takich jak wiadomości tekstowe lub dodatkowa poczta e-mail, edukowanie członków zespołu o możliwości ataków socjotechnicznych oraz tworzenie procesów dla potencjalnych odpowiedzi na ataki Lapsus$. Microsoft twierdzi również, że będzie na bieżąco śledził Lapsus$, pilnując wszelkich ataków przeprowadzanych na klientów Microsoftu.