Uji Coba Fitur, Tim AI Microsoft Tak Sengaja Bocorkan 38 TB Data Karyawan

Baru-baru ini, tim penelitian AI Microsoft mengunggah data pelatihan ke GitHub, untuk menyediakan kode sumber terbuka dan model AI untuk pengenalan gambar kepada peneliti lain. Namun tindakan ini justru secara tidak sengaja malah membocorkan data-data pribadi.

Wiz, sebuah perusahaan keamanan siber yang menemukan kebocoran data tersebut, menemukan link di dalam file yang berisi backup dari komputer karyawan Microsoft. Tidak  tanggung-tanggung, data yang bocor tersebut sekitar sebanyak 38TB.

Backup tersebut kemungkinan berisi data-data yang sangat penting, termasuk kata sandi untuk layanan Microsoft, kunci rahasia, dan lebih dari 30.000 pesan internal di aplikasi Teams dari ratusan karyawan perusahaan tersebut.

Bocor Karena Fitur Token SAS di Microsoft Azure

Tapi rupanya raksasa software dunia ini mengklaim bahwa tidak ada data pelanggan yang terungkap dan tidak ada layanan internal lain yang terancam. Link-link tersebut sengaja dimasukkan bersama dengan file-file tersebut, agar peneliti yang tertarik untuk mengunduh model yang telah dilatih dan ini bukanlah sebuah kecelakaan.

Para peneliti Microsoft menggunakan fitur Azure yang disebut “token SAS,” yang memungkinkan pengguna membuat tautan yang dapat dibagikan yang memberikan akses kepada orang lain ke data dalam akun Azure Storage mereka. Pengguna dapat memilih informasi apa yang dapat diakses melalui tautan SAS, baik itu satu berkas, seluruh folder, atau seluruh penyimpanan mereka.

Tapi dalam kasus diatas rupanya para peneliti membagikan tautan yang memiliki akses ke seluruh akun penyimpanan. Wiz menemukan dan melaporkan masalah keamanan ini kepada Microsoft pada tanggal 22 Juni, dan perusahaan tersebut telah mencabut token SAS pada tanggal 23 Juni.

Microsoft juga menjelaskan bahwa mereka melakukan pemindaian ulang terhadap semua repositori publiknya, tapi sistem mereka awalnya menandai  link-link tersebut sebagai “False Positive.”

Masalah ini pun telah selesai diperbaiki, sehingga sistem mereka dapat mendeteksi token SAS yang terlalu memberi izin akses file. Link-link yang ditemukan oleh Wiz juga telah diperbaiki, namun penting diketahui bahwa token SAS yang dikonfigurasi dengan tidak benar berpotensi menyebabkan kebocoran data dan masalah privasi yang besar.