Microsoft Teams хранит токены аутентификации в виде простого текста

Microsoft Teams хранит токены аутентификации в виде простого текста

Microsoft Teams хранит токены аутентификации в виде простого текста

Специалисты по кибербезопасности выявили серьёзную уязвимость в десктопной версии приложения Microsoft Teams. Проблема кроется в принципе хранения токенов аутентификации, позволяющем злоумышленникам получить к ним доступ.

В частности, проблема затрагивает версии Microsoft Teams для Windows, Linux и macOS: приложение хранит токены аутентификации в виде простого текста, открывая доступ к ним любым желающим.

Если у условного атакующего будет локальный доступ к системе с установленным Microsoft Teams, он сможет украсть токены и использовать их для входа в аккаунт жертвы.

«Для успешной атаки злоумышленнику не нужны дополнительные разрешения в системе или какие-то сложные вредоносные программы», — пишут в отчёте специалисты компании Vectra.

Несмотря на то что исследователи сообщили Microsoft об уязвимости ещё в августе 2022-го, корпорация отказалась патчить её, поскольку разработчики не видят опасности в таким способе хранения токенов.

«В ходе наших проверок стало ясно, что доступные токены являются актуальными — это не ошибка и не дамп старых данных. Обнаруженные токены открыли нам доступ к API Outlook и Skype», — отмечают в Vectra.

Более того, эксперты выяснили, что директория “Cookies“ также содержала валидные токены аутентификации с данными об аккаунте, сессии и пр.

 

Другими словами, вредоносные программы, чья основная задача — похищать данные, легко могут добраться до токенов и передать своим операторам полный доступ к учётным записям пользователей.

Поскольку от Microsoft не стоит ждать патча, Vectra рекомендует переключиться на браузерную версию Microsoft Teams.

УБК МВД накрыло канал с торговлей персональными данными

Сотрудники Управления по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) задержали жителя Волгограда по подозрению в незаконном распространении персональных данных.

О задержании фигуранта дела о незаконном обороте охраняемой законом информации сообщила официальный представитель МВД России Ирина Волк.

По данным ведомства, оперативники УБК МВД выявили в одном из мессенджеров сервис, через который можно было заказывать сведения о гражданах России. Источниками информации, как установили правоохранители, выступали базы данных операторов связи, банков, государственных учреждений и коммерческих организаций. Среднемесячный доход владельца сервиса, по оценкам сотрудников подразделения, составлял около 100 тыс. рублей.

По данному факту следователем СУ УМВД России по городу Волгограду возбуждено уголовное дело по признакам преступления, предусмотренного ч. 3 ст. 272.1 Уголовного кодекса РФ — незаконное использование, сбор, передача и хранение информации, содержащей персональные данные, а также создание ресурсов для её незаконного распространения.

 

Владелец и администратор канала, через который распространялись персональные данные, задержан. Ему предъявлено обвинение, судом избрана мера пресечения в виде заключения под стражу. Фигуранту дела грозит лишение свободы на срок до 10 лет.

По данным МВД, только за девять месяцев 2025 года было возбуждено 923 уголовных дела по статье 272.1 УК РФ. При этом эксперты и участники рынка высказывают опасения, что широкие формулировки статьи могут применяться и к относительно малозначительным правонарушениям, тогда как организаторы масштабной торговли персональными данными зачастую находятся за пределами России.

RSS: Новости на портале Anti-Malware.ru