La vulnerabilidad de Microsoft que exponía 17,3 billones de filas internas la halló un investigador de 16 años.
El fallo, revelado por el propio investigador en su blog, reabre un debate que el sector arrastra desde hace una década: por qué las empresas que documentan cómo debe protegerse una API son las primeras en saltarse sus propias reglas. Microsoft ya cerró el agujero y pagó la recompensa. Eso no resuelve la pregunta de fondo.
Claves de la operación
- 5.000 dólares por un fallo de 17,3 billones de filas. Microsoft abonó la recompensa mínima de su escala por un agujero que dejaba al descubierto metadatos de 25.000 cuentas internas, 17.990 correos de empleados y 24.569 paneles de analítica.
- El ataque no requirió conocimiento avanzado. Bastaba con manipular el campo de usuario a ‘admin’ sobre un token cuya firma el servidor nunca verificó. La técnica está documentada desde 2015.
- La caza asistida por IA acorta los tiempos. La herramienta Antares halló la API de Titan en un host de Azure y mantuvo diez días de pruebas continuadas, un esfuerzo que ninguna auditoría humana sostiene sin descanso.
Diez días de pruebas con IA para entrar como ‘admin’ en Titan
El 25 de agosto, Faav y su herramienta de IA, Antares, encontraron la API del servicio Titan. La web solo era accesible para el personal interno, pero la interfaz de programación estaba expuesta en un host de Azure sin la misma protección. Durante diez días, Antares probó variaciones de un token hasta comprobar que el servidor aceptaba credenciales sin firma. Lo que no logró fue dar con un usuario que el sistema reconociera.
Entonces el investigador aplicó un clásico de las configuraciones por defecto: cambió el campo de usuario por ‘admin’. Titan lo interpretó como un nombre de usuario local con rol de administrador y ejecutó la consulta. El acceso quedó abierto a metadatos de 25.000 cuentas, 17.990 correos de empleados, 24.569 paneles y 17 bases de datos de analítica que suman, según su estimación, 17,3 billones de filas. A eso se suma el acceso a dos muestras de una fila de datos de Bing.
El investigador reconoce que no hizo falta un ataque sofisticado. Titan comprobaba el contenido del token —inquilino, audiencia aplicación y usuario— pero nunca su firma, y eso dejaba sin efecto todo lo demás. La documentación de Azure Application Gateway es explícita: hay que validar la firma, el emisor, el destinatario y la caducidad. En casa del herrero, cuchillo de palo.
El joven reportó el fallo al Microsoft Security Response Center el pasado 5 de septiembre. La compañía cerró el acceso el día 9 y pagó los 5.000 dólares el 17. Cuatro días para cerrar el agujero, once para pagar la recompensa. Un calendario que dice bastante sobre cómo prioriza Microsoft la seguridad frente a la administración.
Un token sin firma es una puerta abierta; comprobar su contenido sin validar quién lo emitió equivale a leer el remitente de un sobre sin abrirlo.
La firma que Microsoft exigía en su documentación y omitía en su propio servicio
Aquí está el dato que más pesa para el mercado. La vulnerabilidad de Microsoft no surge de un descuido puntual: el estándar JSON Web Token, base de la autenticación moderna en la nube, exige validar la firma criptográfica de cada credencial. Sin esa validación, cualquier actor con acceso a la red puede fabricar un token con permisos de administrador. El Grupo de Trabajo de Ingeniería de Internet publicó buenas prácticas específicas para este estándar. Microsoft las conoce. Las aplica en sus servicios de cliente. Y, sin embargo, en Titan, su herramienta interna de analítica, la validación no existía.
El impacto quedó en el plano teórico porque el investigador no tocó datos de clientes y se limitó a metadatos y a dos muestras de una fila de Bing, según su propio relato. Los 17,3 billones de filas son una estimación construida sobre metadatos que probablemente incluye datos históricos, duplicados y derivados. Microsoft revisó el texto antes de su publicación y recortó secciones y cifras, pero todo el detalle técnico procede del propio investigador.
Para las empresas españolas que operan sobre cloud de Microsoft —banca, aseguradoras, administraciones públicas—, el episodio tiene una lectura directa. La seguridad de una API no depende de que su interfaz web esté oculta. Depende de que el servidor valide cada credencial con independencia de lo que el token declare. Si un servicio interno del propio fabricante falla en ese punto, la pregunta razonable es cuántos servicios de terceros lo están haciendo igual sin saberlo.
Lo que el premio de 5.000 dólares revela del mercado de la ciberseguridad
La recompensa de 5.000 dólares es el dato más incómodo de toda la operación. Microsoft mantiene un programa de recompensas por vulnerabilidades que en sus tramos altos supera los 100.000 dólares para fallos críticos de ejecución remota de código. Aquí, un token sin firma daba acceso de administrador a la analítica interna de la compañía. El pago quedó en el escalón inferior. No hay manera de justificarlo por la gravedad técnica del hallazgo, y sí por la clasificación que Microsoft hizo del mismo.
Desde 2015, cuando el investigador Tim McLean demostró que varias librerías daban por válidos tokens declarados sin algoritmo, el sector sabe que este tipo de fallo existe. Una década después sigue apareciendo. No es un problema de desconocimiento: la disciplina en la implementación falla, sobre todo en los servicios internos, donde la presión del producto pesa menos que en las herramientas de cara al cliente.
La irrupción de la IA como herramienta de búsqueda de vulnerabilidades añade presión. Antares aportó la constancia durante diez días; la idea de probar ‘admin’ fue del investigador. La máquina no sustituye al criterio, lo amplifica. Para las empresas que gestionan infraestructura crítica —Indra, Telefónica Tech o cualquier proveedor de servicios gestionados en España—, la conclusión práctica es que la superficie de exposición crece más rápido que la capacidad de auditoría manual.
Observamos que Microsoft no ha detallado públicamente si el fallo afectaba a otros servicios además de Titan ni cuántos empleados estuvieron expuestos antes del cierre. Sin esa información, el episodio queda como una advertencia sin consecuencias visibles. La próxima cita que conviene seguir es la publicación del informe de seguridad anual de Microsoft, donde la compañía suele rendir cuentas de su programa de recompensas. Si el tramo de 5.000 dólares vuelve a aparecer como pago estándar para fallos de autenticación, la lección no se habrá aprendido.
