微软前员工爆料: 4年前公司数据库曾遭黑客袭击但未向用户披露

编者按：本文来自每日经济新闻，每经实习记者 胡晓蕊，每经实习编辑 郭鑫，36氪经授权转载。

据路透社消息，五名微软前员工透露，该公司用于追踪自家软件漏洞的内部秘密数据库早在4年以前就遭到了黑客团伙入侵，这份数据库涉及Windows等在内的当今世界上使用最广泛的一批软件，其中很多软件的漏洞非常严重，而且没有被修复。

根据《每日经济新闻》了解，在2013年数据泄露事件发生后，微软并没有详细公布受到攻击后影响的范围。目前，微软拒绝对此置评。

数据库早在四年前就遭攻击

消息称，微软在2013年就发生了数据泄漏事件。当年，一群尖端黑客攻击了包括苹果、Facebook和推特在内的一系列科技巨头公司。黑客们利用Java程序语言中的一个漏洞，渗透到苹果工作人员的Macintosh电脑中，后再进一步入侵公司的网络。

《每日经济新闻》注意到，在2013年数据库泄漏事件发生一周后，微软方面只发布了一个简短的声明，称数据泄漏在可控制范围内，但其并没有公布更多的细节。

根据微软前员工的表述，微软当时只将泄露一事通知给了美国政府，因为他们认为黑客可能利用这些数据再次发起攻击，还有可能入侵政府及公司网络。

“破坏分子够获得的这些内部信息相当于掌握了全世界数亿台电脑的‘万能钥匙’。”时任美国网络防御助理秘书的埃里克·罗森巴赫（Eric Rosenbach）说。

程序崩溃后才能知道有黑客入侵

五名前雇员的表示，当公司内部官员意识到用于追踪自家软件漏洞的内部秘密数据库泄漏之后，气氛开始变得紧张起来。因为微软数据库的保护性非常差，只需简单的密码登录即可。

根据前员工回忆，微软遭黑客入侵的几个月后已将漏洞修补。尽管这是他们首次公开谈这件事，但这些向路透社爆料的前员工表示，那次黑客事件让他们警觉到，黑客当时可以用这些资料在其它地方发动攻击，入侵政府和企业网路。

路透社采访的5名前雇员中有3人表示，即使漏洞被修复，也显然不能排除这些漏洞在后续被黑客继续利用的可能。

“他们很显然发现了这个漏洞，不过关于这些漏洞是否被利用了，他们并没有做更为详细的调查。”这其中一部分原因是微软一直依靠软件崩溃而自动形成的报告来告诉程序员可能的入侵出现了。一名专家称，这个方法的弊端是很多技术高深的黑客即使在入侵你的电脑时，也不会使你的程序崩溃。此外，那些最容易受到攻击的机器，比如那些有重要或者机密信息的政府机构的电脑，通常是不会自动崩溃的。

美国国土安全部负责网络安全的副部长Mark Weatherford在了解到微软一事后提醒广大公司，应该严肃对待错误报告。

泄露数据库被隔离 登陆者需二次身份验证

在经历一波破坏性的黑客攻击浪潮后，各家公司都在努力寻找和修复软件中的漏洞。包括微软在内的许多公司通过向安全研究人员和黑客支付“赏金”，以获得更多关于漏洞的信息，并确保能做出更多的努力来保障软件的安全。

应该说，自从今年美国国家安全局（NSA）的网络武器库被入侵以后，类似的安全问题才引起了广泛的关注。微软总裁布拉德-史密斯（BradSmith）表示：“这一事态的严重性相当于美国的战斧导弹被盗。

微软在回答路透社的一封邮件中说道：“目前，我们的网络安全团队随时随地都在监测可能出现的安全隐患，以便我们能够最快的采取行动来保障我们用户的信息安全。”

据《每日经济新闻》了解，在此次信息泄露事件后，微软将这一数据库从公司网络中隔离出来，并要求对登陆者进行二次身份验证，来加强安全方面的监管。

在微软的数据库丢失事件被曝光之前，同类数据库被盗被曝光的案例仅有一例：2015年，浏览器开发商火狐的一个数据库被黑客入侵，10项未修补的严重漏洞信息被窃取，后来，黑客利用其中一个漏洞向火狐用户发起攻击。

火狐首席商务官兼法务Denelle Dixon在公布数据泄露事件后解释道：“这不仅仅是为了提醒我们的用户，也是为了帮我们自己以及其他公司更多的了解这一情况，最重要的是公开和透明一直是我们对待用户的基本原则。”