Un cercetător de doar 16 ani a găsit o breșă uriașă în Microsoft. Putea ajunge la 17,3 trilioane de rânduri de date

Un cercetător în securitate cibernetică în vârstă de doar 16 ani a descoperit o vulnerabilitate majoră într-un serviciu intern de analiză folosit de Microsoft. Tânărul, cunoscut online sub numele de Faav, susține că problema i-ar fi putut permite unui atacator să ajungă la un mediu care conținea aproximativ 17,3 trilioane de rânduri de date, inclusiv informații despre angajați și date de analiză asociate Bing. Descoperirea a fost explicată chiar de cercetător într-o analiză tehnică publicată pe blogul său. Important însă: cifra nu reprezintă 17,3 trilioane de persoane sau înregistrări furate, iar cercetătorul spune că nu a extras în masă informațiile și nu a accesat date personale ale clienților.

Problema afectase Titan, un serviciu intern Microsoft destinat analizelor de date. Interfața web a acestuia era disponibilă doar prin VPN-ul companiei, însă în spatele său exista un API separat, accesibil public, pe care cercetătorul l-a identificat cu ajutorul Antares, un instrument automatizat de căutare a vulnerabilităților pe care l-a dezvoltat chiar el. Cazul vine într-un an în care Microsoft a fost nevoită să remedieze numeroase vulnerabilități de securitate în produsele sale.

O eroare aparent simplă i-a oferit acces de administrator

Problema esențială se afla în modul în care Titan verifica tokenurile JWT folosite pentru autentificare. Serviciul controla diferite informații din token, precum tenantul, aplicația și identitatea utilizatorului, dar, potrivit cercetătorului, nu verifica semnătura criptografică prin care putea fi confirmat că acel token era autentic. Cu alte cuvinte, sistemul analiza informațiile prezentate fără să confirme în mod corect cine le emisese.

Faav a observat că putea modifica succesiv datele din token, în timp ce semnătura rămânea neschimbată, iar Titan continua să proceseze cererile. Ulterior, cercetătorul a construit un token nesemnat și a introdus valoarea „admin” în câmpul destinat identității utilizatorului. Sistemul a asociat această valoare cu utilizatorul local cu ID 1, care avea rol de administrator, iar tânărul a reușit astfel să execute interogări SQL.

Instrumentul Antares lucrase aproximativ zece zile la investigarea serviciului, dar nu reușise singur să ajungă la pasul decisiv. Faav spune că intervenția sa manuală a făcut diferența: instrumentele automate testau identități în format de adresă de e-mail, în timp ce el a încercat simplul „admin”. Cazul arată astfel și cum instrumentele bazate pe inteligență artificială pot fi combinate cu intuiția umană în cercetarea de securitate.

Nu este prima situație din 2026 în care infrastructura companiei ajunge în atenția specialiștilor în securitate. O altă vulnerabilitate descoperită anterior ar fi putut transforma Microsoft Copilot într-un instrument pentru furtul de date, problema fiind ulterior remediată.

Date despre angajați și informații din Bing

După obținerea accesului de administrator, cercetătorul a putut analiza metadatele platformei. Potrivit raportului său, baza de date Titan includea aproximativ 25.000 de înregistrări legate de conturi și adrese de e-mail, 17.990 de înregistrări cu adrese de e-mail ale angajaților și 15.001 înregistrări privind structura organizațională. Erau disponibile și informații precum funcțiile, departamentele și ierarhia managerială pentru o parte dintre angajații Microsoft care utilizau Titan.

Cercetătorul a descoperit și o sursă de date asociată analizelor Bing. El spune că a efectuat doar două interogări limitate la câte un singur rând, pentru a demonstra că informațiile erau accesibile. Rezultatele conțineau date despre căutări, identificatori și informații aproximative de localizare, precum țara sau statul, obținute din IP. Faav afirmă că nu a încercat să identifice utilizatori și nici să coreleze informațiile între diferitele baze de date.

Cele 17 baze de date ClickHouse la care serviciul era conectat cuprindeau 9.863 de denumiri unice de tabele. Pe baza metadatelor, cercetătorul a calculat un total estimat de 17.333.335.124.315 rânduri. Numărul poate include însă date istorice, informații duplicate și seturi derivate, motiv pentru care nu trebuie interpretat drept numărul de persoane afectate sau de date efectiv compromise.

Microsoft a închis accesul și i-a plătit 5.000 de dolari

Faav a raportat vulnerabilitatea către Microsoft Security Response Center pe 5 septembrie 2026. Compania i-a cerut să oprească testele și a început investigarea problemei, iar accesul la endpoint-ul vulnerabil a fost restricționat pe 9 septembrie. Pe 17 septembrie, cercetătorul a primit o recompensă de 5.000 de dolari prin programul Microsoft Bug Bounty.

Microsoft a transmis că raportarea coordonată a vulnerabilității a ajutat compania să își consolideze serviciile și a apreciat activitatea de cercetare realizată în limitele programului său de recompense. Nu există, în informațiile făcute publice până acum, dovezi că vulnerabilitatea ar fi fost exploatată de atacatori înainte de remediere.

Faav a precizat, de asemenea, că Microsoft a avut control editorial asupra materialului său înainte de publicare, unele secțiuni și imagini fiind eliminate, iar formulările legate de impact fiind modificate. Cercetătorul insistă însă că dimensiunea de 17,3 trilioane de rânduri descrie ceea ce era teoretic accesibil prin vulnerabilitate, nu cantitatea de informații pe care a extras-o.

Descoperirea apare într-un context în care Microsoft continuă să remedieze probleme de securitate în mai multe produse, inclusiv vulnerabilități care pot permite atacatorilor să obțină drepturi de administrator în Windows. În cazul Titan, însă, detaliul care face povestea cu atât mai neobișnuită este cine a găsit breșa: un cercetător de 16 ani, ajutat de propriul instrument automatizat de hacking etic.