Correzione per Microsoft Copilot Studio
Microsoft ha annunciato la correzione di un difetto nel suo studio Copilot, che avrebbe permesso agli attaccanti di accedere a informazioni sensibili relative ai servizi di calcolo cloud. I ricercatori di Tenable hanno scoperto una vulnerabilità di richiesta di forza server-side (SSRF) nel Copilot Studio, che permetteva di accedere a informazioni potenzialmente sensibili sui servizi di calcolo cloud interni. Microsoft ha dichiarato di aver corretto il difetto, identificato come CVE-2024-38206, e non è necessario alcuna azione da parte degli utenti.
Il difetto esisteva perché il tool, per funzionare, permetteva chiamate HTTP a risorse esterne come API contenenti dati che i clienti volevano integrare nel loro chatbot. I ricercatori di Tenable hanno utilizzato questa capacità per ottenere token di accesso gestiti dall’Instance Metadata Service, permettendo loro di accedere a risorse interne. Con ulteriori indagini, i ricercatori hanno potuto determinare quali abbonamenti aveva accesso un’istanza Azure e ottenere accesso di lettura/scrittura a un’istanza Cosmos DB.
Microsoft ha annunciato che in ottobre inizierà a distribuire il suo feature Recall, un’AI-powered Windows, per gli utenti Windows Insiders con PC Copilot+. Questo feature cattura screenshot di finestre attive, analizzandole sul dispositivo.
Microchip Technology colpita da cyberattacco
Microchip Technology ha subito un cyberattacco, che ha portato alla compromissione dei suoi sistemi informatici. Non sono stati rilasciati dettagli specifici sulle modalità di accesso degli attaccanti o sulle informazioni compromesse.
Equiniti multa di $850.000 per cyberincidents
Equiniti, una società di servizi finanziari, ha accettato di pagare una multa civile di $850.000 per aver violato le normative di sicurezza informatica della Commissione di Sicurezza e Cambio (SEC) degli Stati Uniti. La SEC ha accusato Equiniti di aver fallito nel proteggere i beni dei clienti dopo che gli hacker avevano rubato oltre $6,6 milioni.
Nel primo incidente, gli hacker hanno hijacked una catena di email tra Equiniti e un cliente statunitense, impersonando il cliente per richiedere l’emissione e la liquidazione di milioni di nuove azioni, che ha portato a un trasferimento di $4,78 milioni in conti bancari di Hong Kong. Equiniti ha recuperato circa $1 milione.
Il secondo incidente è avvenuto nel aprile 2023, quando un hacker ha rubato i numeri di sicurezza sociale dei titolari di conto. L’hacker ha creato conti falsi che sono stati automaticamente collegati a quelli legittimi, permettendo la liquidazione di azioni e il trasferimento di $1,9 milioni in altri conti bancari. Equiniti ha recuperato $1,6 milioni e ha rimborsato i clienti colpiti.
Toyota conferma breach di dati via compromissione di terzi
Toyota ha confermato che un breach di dati tramite una compromissione di terzi ha esposto 240 gigabyte di dati dei clienti e degli impiegati, che sono stati rubati da un attaccante che si fa chiamare “ZeroSevenGroup” su un forum di hacking. I dati rubati includono informazioni personali, contratti, dettagli finanziari e credenziali di rete. La compagnia ha dichiarato che i suoi sistemi non sono stati compromessi e ha attribuito la breach a un terzo soggetto.
Toyota non ha rilasciato dettagli sul momento in cui è stata scoperta la breach, come gli attaccanti hanno ottenuto accesso o il numero esatto di persone colpite. La compagnia ha dichiarato che sta lavorando con le persone colpite e offrirà assistenza se necessario, ma non ha nominato il terzo soggetto compromesso.
La sicurezza informatica è un’area cruciale per tutte le organizzazioni, e la correttezza e la trasparenza sono fondamentali per affrontare le minacce sempre più sofisticate. Microsoft ha dimostrato la sua capacità di reagire rapidamente a difetti e di mantenere la sicurezza dei suoi servizi. Tuttavia, è importante che tutte le aziende continuino a monitorare le loro operazioni e a implementare misure di sicurezza aggiuntive per proteggere i loro dati e i loro clienti.
Fonte: https://www.databreachtoday.com/breach-roundup-microsoft-fixed-copilot-studio-flaw-a-26117
