Bing es un motor de búsqueda propiedad de Microsoft y los datos robados pertenecen a la aplicación móvil (iOS y Android) que estaba en un servidor abierto. El servidor tenía alrededor de 6,5 TB de datos y estaba creciendo 200 GB por día cuando se descubrió.
Los usuarios de la aplicación móvil Bing en cualquier plataforma, incluidos iOS y iPadOS, están en riesgo después de que se roben terabytes de información personal de los usuarios de un servidor no seguro.
El grupo de hackers (dedicados a las buenas prácticas) WizCase descubrió el servidor abierto el 12 de septiembre, que había estado protegido hasta el 10 de septiembre. Microsoft fue notificado el 13 de septiembre después de descubrir quién era el propietario del servidor. El servidor no seguro fue protegido por el Centro de respuestas de seguridad de Microsoft el 16 de septiembre.
WizCase pudo identificar la extracción de datos y un ataque posterior de "Miau" durante el tiempo que estuvo abierto. Un ataque Meow es un ataque automático en un servidor expuesto que tiene como objetivo borrar una gran cantidad de datos del servidor. Este ataque Meow borró casi por completo la base de datos.
Los "piratas informáticos" habían recopilado unos 100 millones de registros cuando se lanzó un segundo ataque Meow contra el servidor el 14 de septiembre. Muchos tipos de piratas informáticos accedieron a los datos mientras el servidor estaba abierto, por lo que hubo tiempo suficiente para obtener casi todos los datos en el servidor.
¿Qué significa para los usuarios?
Un servidor abierto lleno de terabytes de datos de usuario es un verdadero placer para los piratas informáticos malintencionados. Los datos incluidos en el servidor incluían lo siguiente:
- términos de búsqueda de texto sin formato
- Coordenadas de ubicación de los usuarios que han activado la geolocalización
- Hora exacta de búsqueda
- Token de reclamo de Firebase
- Datos de términos en los resultados de búsqueda
- Lista parcial de URL visitadas dentro de los resultados de búsqueda
- Modelo del dispositivo utilizado
- deviceID, devicehash y ADID del dispositivo del usuario
Esta base de datos se puede utilizar para buscar usuarios específicos en función de solicitudes o ubicaciones, lo que puede dar lugar a fraudes, chantajes, phishing o amenazas físicas. El equipo de WizCase pudo identificar usuarios específicos que habían buscado material de pornografía infantil, armas o dónde atacar a grupos específicos de personas.
