A gigante tecnológica está sob forte escrutínio devido à forma como lida com as explorações de segurança conhecidas como zero-day. Segundo os detalhes partilhados pelo especialista Kevin Beaumont no DoublePulsar e num comunicado divulgado pela própria Microsoft, a empresa encontra-se num conflito público com um indivíduo conhecido como Nightmare Eclipse. Este utilizador, que algumas publicações sugerem ser um antigo funcionário descontente, tem divulgado código de prova de conceito para explorar vulnerabilidades não resolvidas nos sistemas.
A resposta implacável e o bloqueio de contas
A abordagem da Microsoft para resolver este problema gerou grande controvérsia na comunidade de cibersegurança. A empresa sugere que planeia avançar com um processo criminal contra Nightmare Eclipse por este não ter seguido a devida coordenação na divulgação das vulnerabilidades. Para além das ameaças legais, a tecnológica desativou as contas do indivíduo em plataformas essenciais para programadores, incluindo o GitHub, o GitLab e o próprio centro de respostas de segurança da marca.
Como Kevin Beaumont aponta, esta estratégia levanta um problema logístico bastante óbvio e irónico. Torna-se praticamente impossível para um investigador reportar futuras falhas de forma responsável quando as suas vias de comunicação oficiais foram cortadas e as contas banidas permanentemente.
Contradições no histórico da empresa
O ponto que mais incomoda os especialistas de segurança é o historial de contradições da própria empresa. A tecnológica já contratou diversos profissionais que realizaram exatamente o mesmo tipo de ações no passado. Nos seus quadros atuais existem pessoas que publicaram exploits zero-day de forma livre na internet, e algumas possuem até condenações criminais no seu registo por pirataria informática. Além disso, a entidade tem um historial conhecido de comprar exploits a intermediários no mercado paralelo.
Beaumont conclui a sua análise de forma assertiva, indicando que se a tática for tentar criminalizar quem não segue os esquemas de divulgação responsável muitas vezes arbitrários da empresa, haverá muita dificuldade em defender essa posição em tribunal. Um processo judicial iria certamente expor todas estas contradições e o longo historial de decisões internas da gigante do software perante a justiça e a opinião pública.
Nenhum comentário
Seja o primeiro!