Ubeskyttet Microsoft-FTP-server med fortrolige data

Microsoft blev tirsdag tvunget til at lukke en offentlig FTP-server efter afsløringen af et gabende sikkerhedshul. FTP-serveren anvendes normalt af Microsofts kunder til at hente drivere og opdateringer og uploade filer til firmaets PSS Security Response Team.

Men brugerne havde også adgang til mapper med internt præsentations-materiale, regneark, rapporter og andre fortrolige Microsoft-oplysninger. Blandt de frit tilgængelige filer var arkivet dmail_11_04_02.zip, en 1-GB-database med millioner af kundenavne og adresser.

Medarbejderne fra Microsofts marketingafdeling har tilsyneladende placeret filer på serveren i den tro, at den kun var tilgængelig for firmaets egne ansatte.

"De har sandsynligvis troet at de kun delte filerne med andre Microsoft-folk og at serveren var beskyttet," siger Russ Cooper fra sikkerhedsudbyderen TruSecure til Wired.

En Microsoft-talsmand siger at firmaet har lukket serveren for at "forbedre beskyttelsen af følsomme oplysninger".

Det tyske magasin PC-Welt - som var blandt de første til at skrive om den åbne server - fortæller at mapperne med interne dokumenter fyldte mere end 20 GB. De fleste filer var pakket i zip-arkiver.

PC-Welt fandt blandt andet Powerpoint-præsentationer med informationer om Microsofts "Trustworthy Computing" initiativ og detaljer om firmaets Messenger-strategi og de "strategiske fordele" i Windows sat overfor andre produkter.

I et telefoninterview med Wired fortæller Andreas Marx, virusanalytiker hos GEGA IT-Solutions, at han opdagede problemet allerede den 15. november. Han informerede Microsoft og serveren forsvandt fra nettet i nogle timer mandag, hvorefter alle fortrolige filer var forsvundet.

Men kort tid efter begyndte Microsoft-medarbejdere igen at uploade interne dokumenter til serveren.

"Det ser ud til at Microsoft har en politik om, hvilke filer der kan uploades, men at nogle medarbejdere ikke retter sig efter den," siger Marx.

Efter den seneste lukning tirsdag er FTP-serveren nu tilbage på nettet og alle interne dokumenter er fjernet igen. Men alle download-mapper er spærret - det er kun muligt at uploade til serveren.