Jovem hacker acede a 17 biliões de registos da Microsoft através de falha na plataforma Titan

Um hacker de 16 anos explorou uma falha de autenticação na plataforma Titan da Microsoft, expondo 17,3 biliões de registos e dados de 25.000 contas.

Falha de segurança expôs dados internos da Microsoft

Um investigador de segurança de 16 anos, conhecido pelo pseudónimo 'Faav', conseguiu aceder à plataforma interna de análise Titan da Microsoft. O incidente, que permitiu a visualização de cerca de 17,3 biliões de registos e uma tabela de metadados com aproximadamente 25.000 contas, foi resolvido após a notificação da empresa.

Segundo os detalhes revelados, o acesso foi possível devido a uma falha na validação de tokens JSON Web Token (JWT). O sistema verificava a existência do token, mas não a sua assinatura criptográfica, permitindo que qualquer token, mesmo não assinado, fosse aceite. Ao configurar o campo 'upn' como 'admin', o hacker obteve privilégios de administrador na plataforma.

Como a falha foi explorada

A plataforma Titan, destinada a funcionários da Microsoft, deveria estar protegida por uma VPN. No entanto, a API estava acessível através de um host do Azure Cloud Services. O hacker utilizou um bot de orquestração, denominado 'Antares' e equipado com modelos de IA como o Codex e o Claude, para mapear a superfície de ataque e automatizar a tentativa de acesso.

• Acesso indevido: A API '/v2/Query' não exigia autenticação Azure AD e aceitava comandos SQL brutos.
• Dados expostos: O acesso revelou cerca de 18.000 registos de e-mail de funcionários, 15.000 registos de organizações e inúmeros dashboards e conjuntos de dados.
• Resolução: O caso foi reportado a 5 de setembro de 2026. A Microsoft encerrou o ponto de acesso a 9 de setembro e efetuou um pagamento de 5.000 dólares ao investigador a 17 de setembro.

A Microsoft manteve controlo editorial sobre o relatório final publicado pelo hacker, removendo secções específicas antes da divulgação pública. Este incidente destaca a importância da verificação rigorosa de assinaturas em sistemas de autenticação, mesmo em plataformas internas que operam sob a premissa de acesso restrito.

Fontes

• https://www.techradar.com/pro/security/open-microsoft-database-with-17-trillion-total-rows-and-25-000-user-accounts-hacked-by-a-bored-teenager-but-hes-been-well-paid-for-his-actions