Microsoft a confirmé que l'attaque menée par le groupe de hackers Lapsus$ a exposé une partie de son code source, mais ne vous inquiétez pas.
Plus tôt cette semaine, un groupe de hackers relativement nouveau appelé Lapsus$ a affirmé avoir obtenu le code source d'une variété de produits Microsoft, qu'il a ensuite partagé avec ses abonnés. Aujourd'hui, Microsoft a confirmé que l'attaque Lapsus$ était réelle et qu'une petite partie du code source avait été obtenue par les attaquants. Cependant, Microsoft a nié tout danger associé à cette attaque particulière.
D'une part, un seul compte du côté de Microsoft a été compromis et son accès était limité à certains fichiers seulement. L'équipe de sécurité de Microsoft examinait déjà ce compte spécifique avant l'attaque sur la base de renseignements sur les menaces, elle a donc pu réagir rapidement. Microsoft affirme avoir réussi à arrêter les attaquants en cours d'opération, empêchant ainsi l'accès et la divulgation de davantage de données.
Comme on pouvait s'y attendre, les données incluaient uniquement le code source de certaines applications et services, tels que Bing et Cortana, et aucune donnée client n'a été exposée à la suite de l'attaque. Microsoft affirme également que le secret de son code n'est pas considéré comme une mesure de sécurité, et donc, le fait que ce code soit rendu visible au grand public n'entraîne aucun risque supplémentaire pour utilisateurs.
Cela étant dit, Microsoft affirme suivre Lapsus$ en raison de ses récentes attaques contre diverses sociétés, dont Samsung, dont le code source des téléphones Galaxy a été exposé de cette façon. Même si cette attaque particulière contre Microsoft ne présente aucun danger pour les clients, les entreprises et les utilisateurs doivent néanmoins se méfier des autres tentatives nuisibles à l'avenir. Microsoft recommande d'appliquer l'authentification multifacteur (MFA), d'utiliser des méthodes d'authentification sans mot de passe lorsque cela est possible et de s'assurer que les mots de passe ne sont pas faciles à deviner. De plus, Microsoft recommande d'éviter d'utiliser des méthodes MFA telles que la messagerie SMS ou de simples invites contextuelles.
Selon Microsoft, Lapsus$ s'appuie sur l'achat d'informations d'authentification auprès d'initiés et d'entreprises clandestines. forums en ligne, ainsi que la recherche dans les référentiels publics et le voleur de mots de passe Redline pour aider à mener à bien ces tâches attaques. Une application stricte de l’AMF devrait réduire considérablement les risques pour les entreprises et leurs clients.
Source: Microsoft