Источник изображения: Csaba Nagy / Pixabay
Всеволод Кокорин, более известный в интернете как Slonser, обнаружил уязвимость в системе электронной почты Microsoft, которая позволяет злоумышленникам подменять адрес отправителя писем на адреса корпоративной почты Microsoft. Это открывает широкие возможности для фишинговых атак.
Чтобы продемонстрировать серьезность проблемы, Кокорин создал тестовое письмо от имени группы безопасности аккаунтов Microsoft и отправил его на несколько адресов. Письмо выглядело так, будто оно действительно было отправлено с официального адреса корпорации.
По словам Кокорина, уязвимость работает только при отправке писем на аккаунты Outlook, которыми пользуется не менее 400 миллионов человек по всему миру. Ранее он сообщал об этой проблеме в Microsoft, но компания проигнорировала его отчёт, заявив, что не может воспроизвести описанные действия. Это подтолкнуло Кокорина к публикации информации, избегая технических подробностей.
После того, как новость привлекла внимание общественности, представители Microsoft вновь открыли отчёт Кокорина и ведут работу по устранению уязвимости. Сам Кокорин подчёркивает, что его целью является привлечение внимание компании к проблемам кибербезопасности, а не получение денежного вознаграждения.
Пока неизвестно, использовал ли кто-то эту уязвимость до её обнародования, но риски значительны, учитывая масштаб аудитории пользователей Outlook. Microsoft пока воздерживается от комментариев.