Microsoft confirma que el grupo Lapsus$ le ha robado 37 GB con código fuente de Bing y Cortana

La compañía asegura que los datos de sus clientes no se han visto vulnerados. El grupo de hackers es el autor de ataques a Samsung, Nvidia, Ubisoft, Vodafone y otras tecnológicas

Oficinas de Microsoft.

MIcrosoft ha confirmado que el grupo de hackers Lapsus$ ha robado 40 GB de información, incluyendo partes del código fuente de algunos de sus productos como Cortana, su asistente virtual, y su buscador Bing. La constatación por parte de la compañía llega después de que el grupo de ciberdelincuentes asegurara a inicios de esta semana que había pirateado el servidor Azure DevOps de Microsoft y que se habían hecho con un total de 37 GB en datos del gigante tecnológico. 

La compañía ha calificado el suceso de táctica "cibercriminal motivada por el robo y la destrucción", según indican en su blog oficial. Microsoft detalla que el grupo, al que llama DEV-0537, comprometió "una sola cuenta". "El objetivo de DEV-0537 es obtener un acceso elevado a través de credenciales robadas que permitan el robo de datos y ataques destructivos contra una organización objetivo, lo que a menudo termina en extorsión. Sus tácticas y objetivos indican que se trata de un actor cibercriminal motivado por el robo y la destrucción".

El gigante de Redmond no es la primera víctima de este grupo, que ya ha atacado a otras importantes tecnológicas, además de a webs gubernamentales. El pasado diciembre, Lapsus$ logró acceder a los servidores del Ministerio de Salud de Brasil, y en febrero y marzo de este año, también atacaron los servidores de Samsung y Nvidia. A esta última empresa, el grupo de ciberdelincuentes le exigió liberar el código fuente de los drivers de sus tarjetas gráficas y eliminar las restricciones que ha impuesto a la hora de usarlas para minar criptomonedas. Otras empresas cuyos sistemas han sido violados por estos hackers fueron Okta, Vodafone, Mercado Libre y Ubisoft, según ellos mismos revelaron.

Microsoft señala que el código robado no representa un riesgo elevado. "Ningún código o dato de cliente se ha visto envuelto en las actividades observadas. Nuestra investigación ha encontrado que una sola cuenta se ha visto comprometida, otorgando acceso limitado. Nuestros equipos de respuesta de ciberseguridad actuaron rápidamente, interrumpieron el robo a mitad de de la operación, impidiendo más actividad", añade la compañía. 

Lapus$ precisó cuando hizo público el ataque que en el material robado está alrededor del 45% del código de Bing y Cortana, y alrededor del 90% del código de Bing Maps.

Lapsus$ es un grupo de cibercriminales que se dedica a violar los sistemas corporativos de diferentes compañías para robar código fuente, listas de clientes, bases de datos y otros valiosos para después intentar extorsionar a sus víctimas a las que exige dinero para no filtrar públicamente los datos. Se desconoce cómo están logrando violar los repositorios de código fuente de las compañías (su principal objetivo de ataque), pero hay muchos expertos en seguridad que creen que están pagando a empleados de las empresas para acceder a ellos. Un extremo que no resulta extraño teniendo en cuenta que públicamente han anunciado estar dispuestos a comprar credenciales a los empleados para poder así atacar a las organizaciones que marcan como blanco.

Esta no es la primera vez que Microsoft sufre un robo de código fuente. En enero de 2021, la compañía admitió que los hackers vieron parte de su código fuente en un ciberataque masivo contra organismos y empresas llevado a cabo supuestamente por hackers rusos que utilizaron para introducirse en los sistemas las actualizaciones de un software de la empresa texana Solarwinds. La multinacional también sufrió hace un año un ciberataque en su aplicación Microsoft Exchange Server que puso en alerta a cientos de miles de empresas de todo el mundo. 

El gigante del software indica en su blog algunos pasos para que otras organizaciones tomen medidas para mejorar su seguridad, entre ellos la solicitud de autenticación multifactor, no usar métodos de autenticación multifactor "débiles" como mensajes de texto o correos secundarios, educar a los miembros de su equipo sobre ataques de ingeniería social, y crear procesos para responder a los ataques de Lapsus$.