Americký senátor tlačí FTC, aby prozkoumal Microsoft pro „hrubou nedbalost kybernetické bezpečnosti“

Americký demokratický senátor Ron Wyden ve středu požádal Federální obchodní komisi „vyšetřovat a držet odpovědný Microsoft“ za svou roli v řadě vysoce profilových incidentů v oblasti kybernetické bezpečnosti v posledních letech. Říkat, že přístup společnosti k bezpečnosti „nadále ohrožuje americká národní bezpečnost“.

Wyden v dopise 10. září předsedovi FTC Andrew Ferguson napsal, že „hrubá nedbalost kybernetické bezpečnosti“ technologického gigantu vyústila v útoky ransomware proti kritické infrastruktuře, včetně amerických zdravotnických organizací alespoň částečně kvůli výchozí konfiguraci operačního systému Windows.

„V tomto okamžiku se Microsoft stal jako žhářství prodávající hasičské služby svým obětem,“ napsal Wyden a vládní agentury a další společnosti nemají „na výběr“, ale používat produkty společnosti kvůli svému „téměř monopolu nad Enterprise IT“.

Mluvčí FTC uznal, že agentura obdržela dopis, ale odmítla se dále vyjádřit. Widen uvedl, že hlavním příkladem byl útok ransomwaru na provozovatele nemocnice v květnu 2024, který podle společnosti odhalil soukromé lékařské a pojišťovací údaje téměř 5,6 milionu lidí.

Wyden napsal, že operátor nemocnice řekl svému zaměstnancům, že dodavatel používající notebook vzestupu klikl na škodlivý odkaz obsluhovaný vyhledávačem společnosti Microsoft Bing, který pak umožnil hackerům získat přístup do sítě společnosti a nakonec do serveru Microsoft Active Directory organizace, který se používá k správě uživatelských účtů.

Podle Wydena podpora společnosti Microsoft pro zastaralou technologii šifrování a výchozí nastavení konfigurace nastavené společností Microsoft umožnilo přístup k útoku v případě Ascension a Microsoft neudělal dost, aby vzdělával společnosti o tom, jak zmírnit hrozbu.

Mluvčí společnosti Microsoft ve středu uvedl, že RC4, šifrovací standard odkazoval Wyden, je starý a tvoří „méně než 0,1% našeho provozu“ a že společnost odrazuje zákazníky od jeho používání.

„Deaktivace jeho použití by však zcela porušilo mnoho zákaznických systémů,“ uvedl mluvčí a společnost postupně snižuje, do jaké míry jej zákazníci mohou používat a zároveň se snaží poskytnout varování a pokyny k nejbezpečnějšímu způsobu jeho používání.

RC4 bude ve výchozím nastavení deaktivován v některých produktech Windows od prvního čtvrtletí roku 2026 a společnost bude zahrnovat „další zmírnění“ pro stávající nasazení, uvedl mluvčí. Wyden již dříve prosazoval vládní vyšetřování a přezkum role společnosti Microsoft v kybernetických útocích, včetně po Zjevení v červenci 2023, že čínští hackeři ukradli tisíce e-mailů amerických úředníků.