38 miljoner patientjournaler går online efter ett stort dataintrång

En stor säkerhetsbrist i Microsofts OpenAI Power Apps -portaler har påverkat hundratals appar och har exponerat ungefär 38 miljoner poster hittills. Det senare sträcker sig från vaccinationscertifikat mot Covid-19 till personuppgifter, inklusive anställningsstatus, telefonnummer och adressnummer, personnummer etc. Offren arbetar i små och stora företag i flera branscher och offentliga institutioner som skolor och sjukhus.

Ett problem som ligger vilande i månader?

Säkerhetsfrågor relaterade till Power Apps -plattformen verkar ha pågått sedan maj 2021. I stället för att hålla användardata privata har en stor del av apparna tillgängliga på Microsofts Power Apps -portal hållit den allmänt tillgänglig för alla intresserade tredje parter. Anledningen till att en sådan sårbarhet uppstod avser Application Programming Interfaces (API: er) som Power Apps -plattformen erbjuder för att hjälpa programutvecklare att bygga mobil- och webbapplikationer på egen hand. I teorin bör API: erna möjliggöra för utvecklare att samla in den information de behöver utan att dela den någon annanstans. Medan de samlade in poster höll dessa API: er dem inte privata. Dessutom gjorde de dem offentliga som standard eftersom det verkar som att de var konfigurerade i första hand. Därför var utvecklarna tvungna att göra manuella justeringar för att förhindra Microsofts Power Apps API: er att exponera data som de annars borde hålla under omslag.

Hur är det med patchen?

Ursprungligen ovilliga att ta itu med problemet har Microsofts säkerhetsspecialister sedan uppmanat sina kunder att "använda bästa praxis när de konfigurerar produkter på ett sätt som bäst uppfyller deras integritetsbehov." Dessutom bör alla tillgängliga API: er på Power Apps -plattformen hålla data privata som standard utan att kräver ytterligare rörelser för kundens räkning. Microsoft sträckte sig ännu mer extraordinärt genom att lansera ett unikt Portal Checker -diagnostikverktyg för att hjälpa kunder att identifiera sina anpassade API -inställningar.

Exponerad datafördelning

De exponerade posterna varierar när det gäller ämnet. Några av dem relaterade till anställda på American Airlines, medan andra pekade på skolor i New York. Ungefär 0,3 miljoner e -postadresser och 40 tusen Mixed Reality -dokument kan också ha hamnat i fel händer.