Microsoft 365 Copilot’ta ortaya çıkan bir güvenlik açığı, kullanıcıların dosya bilgilerine erişmesini sağlarken yapılan işlemleri denetim kayıtlarına yansıtmadı. Sorunun karmaşık bir saldırıdan kaynaklanmadığı, tesadüfen fark edildiği öğrenildi. Pistachio şirketinin teknoloji direktörü Zack Korman, açığın kötü niyetli çalışanlar tarafından kullanılabileceğini ve hassas verilere ulaşılsa bile denetim izlerine rastlanmayacağını açıkladı. Bu durum güvenlik, yasal uyum ve olay müdahale süreçleri için ciddi bir risk oluşturdu.
Microsoft Sessiz Şekilde Açığı Kapattı
Korman, hatayı Microsoft’a raporladıktan sonra şirket birkaç gün önce Copilot’a doğrudan yama uyguladı. Ancak Microsoft, kullanıcıları bilgilendirmeyi reddetti. Korman, şirketlerin eksik denetim kayıtlarından haberdar olması gerektiğini söyleyerek açığı kendi başına duyurdu.
Microsoft Güvenlik Yanıt Merkezi (MSRC) raporu değerlendirirken kendi politikasını uygulamadı. Raporun durumu hatalı şekilde değiştirildi, neden açıklandığı belirtilmedi. Korman süreci “Domino’s Pizza Takip sistemi”ne benzeterek araştırmacıların şeffaflıktan uzak bir süreçle karşı karşıya kaldığını dile getirdi. Microsoft, açığa CVE numarası verilmesine gerek olmadığını savundu. Şirket, müşterilerin herhangi bir işlem yapmasına gerek olmadığını ve açığın önemli olarak sınıflandırıldığını belirtti.
Microsoft’un sessiz kalması, özellikle denetim kayıtlarını yasal zorunluluk kapsamında tutmak zorunda olan kuruluşlar için sorun yaratıyor. HIPAA gibi regülasyonlara tabi kurumların eksik kayıtlarla karşılaşması olası. Eksik ya da hatalı kayıtlar, güvenlik olaylarının araştırılması sırasında kurumların gerçeğe ulaşmasını engelleyebilir.
Uzmanlara göre kurumların son dönem denetim kayıtlarını gözden geçirmesi ve olası boşlukları tespit etmesi büyük önem taşıyor. Microsoft’un sessiz düzeltmesi, kullanıcıların güvenlik konusunda şeffaf bilgilendirilmesi gerektiği tartışmasını da beraberinde getirdi.
