Microsoft, güvenlik açıklarına ilişkin erken erişim programı MAPPS kapsamında Çinli şirketlere ve araştırmacılara tanınan ayrıcalıkları sınırlandırdı. Şirketin aldığı karar, son dönemde yaşanan SharePoint saldırıları ve Çin bağlantılı siber tehdit iddiaları sonrası gündeme geldi.
Microsoft’un Çin İle İş Birliği Tartışma Yarattı
Microsoft uzun süredir bulut hizmetlerini ve bazı yazılım bakım süreçlerini Çinli mühendislerle yürütüyordu. Daha önce ABD Savunma Bakanlığı’nın bulut altyapısının Çin’deki mühendisler tarafından yönetilmesi de büyük tartışmalara yol açmıştı. Konu ortaya çıktıktan sonra Microsoft bu uygulamayı sonlandıracağını duyurmuştu. Siber güvenlik uzmanları, şirketin güvenlikten çok ticari çıkarları öne aldığı görüşünde birleşiyor. Paylaşılan değerlendirmelere göre Microsoft, güvenliği ikinci plana atarak yıllardır benzer riskler yarattı.
Geçtiğimiz aylarda SharePoint yazılımında ortaya çıkan sıfır gün açığı üzerinden yapılan saldırılar dünya genelinde 400’den fazla şirketi etkiledi. Araştırmalar, saldırıların Çin merkezli gruplar tarafından organize edildiğini ortaya koydu.
Açığın hızlı şekilde kullanılmaya başlanması, Microsoft’un güvenlik bilgilerinin dışarıya sızdırıldığı şüphesini doğurdu. Şirketin Çin’de görev yapan yazılım ekibi üzerinden ya da MAPPS programı aracılığıyla bilgi sızıntısı yaşandığı iddiaları gündeme geldi.
Microsoft’un güvenlik ortaklarına yönelik MAPPS programı, şirketlere güncellemelerden önce açıklara dair teknik bilgiler sağlıyordu. Bloomberg’e konuşan Microsoft sözcüsü David Cuddy, artık Çin gibi belirli ülkelerdeki şirketlere detaylı teknik doküman veya saldırı kodu yerine yalnızca genel bir bilgilendirme metni gönderileceğini açıkladı. Cuddy, vatandaşların güvenlik açıklarını hükûmete bildirmek zorunda olduğu ülkelerin bu kısıtlamadan etkilendiğini belirtti. Microsoft ise The Register’a yaptığı açıklamada konuyla ilgili daha fazla yorum yapmayı reddetti.
Uzmanlar, yaşanan son gelişmelerin Microsoft’un güvenlik yaklaşımına yönelik eleştirileri artırdığını belirtiyor. ABD merkezli siber güvenlik uzmanları, şirketin özellikle Çin ile yürüttüğü iş süreçlerinde güvenlik risklerini göz ardı ettiğini savunuyor. Microsoft’un aldığı yeni karar, güvenlik açıklarının kötüye kullanılmasını engellemek için atılmış bir adım olarak yorumlansa da şirketin geçmişteki uygulamaları hala akıllarda soru iaşretinin olmasına neden oluyor.
