La Junta de Revisión de Seguridad Cibernética (CSRB, por sus siglas en inglés) del Departamento de Seguridad Nacional ha anunciado planes para realizar una revisión en profundidad de las prácticas de seguridad en la nube luego de los recientes ataques chinos a las cuentas de Microsoft Exchange utilizadas por las agencias gubernamentales de EE. UU.
La CSRB es una colaboración de los sectores público y privado, creada para realizar investigaciones en profundidad que ofrezcan una mejor comprensión de los eventos críticos, discernir las causas fundamentales y emitir recomendaciones informadas sobre ciberseguridad.
En este caso, CSRB explorará cómo el gobierno, la industria y los proveedores de servicios en la nube (CSP) pueden reforzar la gestión y autenticación de identidades en la nube y desarrollar recomendaciones de seguridad cibernética procesables para todas las partes interesadas.
Esas recomendaciones se enviarán a CISA y a la actual administración de EE. UU., quienes decidirán qué acciones se deben tomar para proteger los sistemas y cuentas gubernamentales.
A mediados de julio de 2023, Microsoft informó que un grupo de piratería chino rastreado como ‘Storm-0558’ violó las cuentas de correo electrónico de 25 organizaciones, incluidas agencias gubernamentales de EE. UU. y Europa occidental, utilizando tokens de autenticación falsificados de una clave de firma de consumidor de Microsoft robada.
Usando esta clave robada, los actores de amenazas chinos explotaron una vulnerabilidad de día cero en la función API GetAccessTokenForResource para Outlook Web Access en Exchange Online (OWA) para falsificar tokens de autorización.
Estos tokens permitieron a los actores de amenazas hacerse pasar por cuentas de Azure y acceder a cuentas de correo electrónico para numerosas agencias gubernamentales y organizaciones para monitorear y robar correo electrónico.
Después de estos ataques, Microsoft enfrentó muchas críticas por no proporcionar un registro adecuado a los clientes de Microsoft de forma gratuita. En cambio, Microsft exigió a los clientes que compraran licencias adicionales para obtener datos de registro que podrían haber ayudado a detectar estos ataques.
Info – Ciberseguridad Latam