‘Cybercriminelen hadden toegang tot database met kwetsbaarheden van Microsoft’

Een interne bugdatabase van Microsoft is vier jaar geleden gekraakt door cybercriminelen. Microsoft ontdekte de aanval, maar is hierover nooit in de publiciteit getreden.

Dit melden vijf anonieme voormalig medewerkers van Microsoft onafhankelijk van elkaar aan Reuters. Microsoft wil niet reageren op de informatie die de bronnen geven. De cyberinbraak vond plaats in een database waarin beschrijvingen staan opgeslagen van kritieke en nog niet verholpen kwetsbaarheden in software van Microsoft, waaronder het Windows besturingssysteem. De informatie is zeer waardevol voor cybercriminelen, aangezien zij deze kunnen gebruiken als een soort handleiding voor het ontwikkelen van exploits.

Voor zover bekend niet in het wild ingezet

De bronnen melden dat de kwetsbaarheden die de database bevatte op het moment van de aanval binnen enkele maanden na de aanval zijn verholpen. Microsoft zou daarnaast cyberinbraken bij andere organisaties hebben onderzocht om te achterhalen of de kwetsbaarheden die in de database stonden opgeslagen hierbij zijn ingezet. De vijf voormalig medewerkers melden dat dit onderzoek geen bewijs heeft opgeleverd dat de gestolen informatie bij de onderzochte inbraken is gebruikt.

De beveiliging van de getroffen database zou na de aanval zijn opgeschroefd. Zo is de database niet langer verbonden met het bedrijfsnetwerk van Microsoft en is twee-factor authentificatie ingevoerd.

Eerdere inbraak bij Mozilla

Slechts één eerder incident waarbij aanvallers toegang wisten te verkrijgen tot een database met kwetsbaarheden is bekend. Het gaat hierbij om een cyberinbraak in een database van de Mozilla Foundation, dat de webbrowser Firefox ontwikkeld. In de database stonden ten tijde van de aanval tien ernstige en niet verholpen beveiligingsproblemen opgeslagen. Eén van deze kwetsbaarheden bleek later daadwerkelijk te zijn ingezet bij een aanval op Firefox gebruikers.