🥷
16-летний шкила с помощью нейронки взломал систему Microsoft с 17,3 ТРИЛЛИОНА строк данных.Школьник
натравил своего ИИ-бота Antares на внутреннюю аналитическую платформу Microsoft
Titan. Агент
10 дней методично долбил авторизацию, перебирал поддомены, разбирал ошибки JWT и в итоге выяснил, что сервак проверял содержимое токена, но почему-то
вообще не проверял его цифровую подпись.
😐 ИИ почти дошёл до конца, но застрял на имени пользователя. Тогда шкила вручную вписал в поддельный токен просто admin и получил возможность выполнять SQL-запросы от имени админа.Внутри оказались данные примерно
25k аккаунтов, инфа о сотрудниках, десятки тысяч дашбордов и таблиц. А всего через Titan были доступны
17 аналитических баз с примерно 17,3 трлн строк. Сам шкила подчёркивает, что всё это он не скачивал — проверил только ограниченные образцы и метаданные, после чего сразу написал Microsoft.
Среди доступных источников нашлась даже аналитика Bing. Microsoft закрыла дырявый API через несколько дней и выплатила школьнику $5000.@overlamer1