Añadir Mangas Verdes como fuente preferida de Google de forma gratuita.
Mantente informado con las últimas noticias de actualidad.
Un investigador de 16 años encontró una grieta que llevaba hasta un entorno interno de Microsoft con una estimación de 17,3 billones de filas de datos.
La edad añade sorpresa, pero no cambia lo esencial. Faav detectó un fallo de autenticación en Titan, una plataforma interna de análisis, que aceptaba datos de identidad sin comprobar la firma del token y abría la puerta a permisos de administrador.
Cuatro días bastaron para cerrar el acceso
El calendario resulta casi tan revelador como el fallo. Faav avisó a Microsoft el 5 de septiembre y la compañía restringió el acceso el 9, de modo que la ventana conocida duró cuatro días.
Después llegó la secuencia habitual de estos casos, aunque aquí tiene un detalle poco común por la edad del descubridor. Microsoft concedió una recompensa de 5.000 dólares el 17 de septiembre y el investigador publicó el relato del hallazgo el 25 de septiembre, cuando el problema ya estaba acotado.
No fueron 17,3 billones de filas robadas.
La cifra impresiona, pero no cuenta por sí sola lo ocurrido
Esa magnitud procede de un cálculo sobre metadatos de almacenamiento y no acredita que alguien extrajera ese volumen de información. En seguridad, una cifra descomunal puede desorientar tanto como una cifra pequeña, porque una cosa es el tamaño potencial de un entorno y otra muy distinta lo que alguien llegó a tocar.
Faav limitó sus pruebas a dos muestras de una sola fila de análisis de Bing. Ese detalle reduce el ruido y sitúa el caso en un terreno más preciso, el de una exposición grave por permisos mal validados, no el de un saqueo masivo demostrado.
Ahí está el verdadero problema, más cerca de un portero que deja pasar a cualquiera con una acreditación mal impresa que de una caja fuerte reventada. La vulnerabilidad no exigía romper la identidad digital de un usuario, sino aprovechar que el sistema confiaba en un token cuya firma no había verificado, una debilidad que recuerda otros robos de tokens de autorización donde el acceso indebido nace de una confianza mal colocada.
Un permiso mal concedido vale más que una montaña de datos
A veces el dato decisivo no es cuántos registros hay, sino qué puede hacer quien entra. Con permisos de administrador, el riesgo deja de medirse en filas y empieza a medirse en alcance.
Además, Titan no era un servicio cualquiera, sino una plataforma interna de análisis de Microsoft. Que el acceso pasara por ahí ayuda a entender por qué la historia combina dos escalas a la vez, una prueba mínima de una fila por muestra y un entorno cuyo volumen estimado asusta a primera vista.
También explica por qué el caso tiene algo de advertencia cotidiana. Un error en la verificación de identidad puede parecer una pieza técnica y remota, pero acaba afectando al mismo mecanismo de confianza que usamos todos cuando una aplicación decide quién eres y hasta dónde te deja entrar, como ya han mostrado ataques con credenciales válidas en otros sistemas.
Entre el 5 y el 25 de septiembre caben, en realidad, las dos caras de esta historia, una exposición gigantesca calculada sobre metadatos y dos únicas filas de Bing usadas como prueba para demostrar que el fallo existía.