Un investigador de 16 años halla una brecha en Microsoft usando el usuario 'admin'

Cada vez que iniciamos sesión en alguna aplicación, un pequeño salvoconducto digital llamado "token" viaja de un lado a otro. Este token le dice al sistema quiénes somos y qué permisos tenemos mediante una firma digital. La idea es buena sobre el papel, pero el procedimiento tiene fallos conocidos y de vez en cuando salta por los aires, incluso en empresas tan grandes como Microsoft.

El protagonista de esta historia es Faav, un investigador de seguridad de apenas 16 años. El joven descubrió un agujero en Titan, el servicio interno de analítica de la compañía. ¿La herramienta para colarse? Un token manipulado y el usuario "admin", ese gran clásico de las configuraciones por defecto que jamás pasa de moda.

Con esta combinación, Faav logró ejecutar consultas SQL con privilegios de administrador de Titan. Gracias a ello, pudo acceder a los metadatos de la plataforma, exponiendo unas 25.000 cuentas, 17.990 correos electrónicos de empleados y 24.569 paneles de control o dashboards.

Por si fuera poco, el investigador comprobó que este servicio conectaba con 17 bases de datos de analítica que, según sus estimaciones, suman unos 17,3 billones de filas de información. Tras percatarse de semejante brecha, reportó el problema de inmediato al Centro de Respuesta de Seguridad de Microsoft (MSRC).

¿Qué opinas de que un usuario tan básico como "admin" siga dando dolores de cabeza a los gigantes tecnológicos? Déjanos tus comentarios y debate con nosotros en la comunidad BeersStorming.