Исслeдoвaтeль в   oблaсти кибербезопасности из   Индии Сахад Нк (Sahad Nk) обнаружил уязвимости, которые позволяли злоумышленникам взломать любую учетную запись Microsoft. Подробный отчет о   найденных ошибках опубликован на   сайте компании-заказчика SafetyDetective, передает Lenta.ru.

Фото: Reuters

Хакер решил не   подбирать пароли и   не   атаковать аккаунты, а   зайти со   стороны компании   — поставщика услуг. Нк   сумел в   семь шагов взломать поддомен success.office.com, принадлежащий Microsoft. Оказалось, что он   был некорректно сконфигурирован. Взятая под контроль часть домена участвует в   процессе авторизации программ Microsoft   — Outlook, Office и   других.

Для получения доступа к   чужой учетной записи Нк   послал жертве фишинговое письмо. Спам-фильтры не   отсеяли   бы послание, отправленное с   адреса Microsoft.

После перехода по   ссылке, выданной «официальной» (взломанной) структурой, злоумышленник получил   бы специальный токен для входа в   аккаунт. Ему не   понадобились   бы никакие дополнительные данные.

Сообщается, что исследование проводилось несколько месяцев назад. Отчет был опубликован лишь после того, как Microsoft устранила уязвимости.