Подросток взломал Titan

16-летний исследователь безопасности, известный под псевдонимом Faav, обнаружил серьёзную уязвимость во внутренней аналитической платформе Microsoft Titan. По его оценке, через систему можно было увидеть около 17,3 триллиона хранимых строк, а также метаданные примерно 25 тысяч пользовательских аккаунтов. Microsoft закрыла дыру и выплатила исследователю 5000 долларов.
Важная оговорка: опубликованные сведения описывают потенциальный доступ, а не подтверждённую массовую кражу данных. Сам Faav называет последствия гипотетическими. Он сообщил об уязвимости 5 сентября 2026 года, зарегистрировав обращение под номером 144051.
Titan предназначена для сотрудников Microsoft и должна быть доступна только через VPN. Однако её программный интерфейс API оставался достижимым через узел Azure Cloud Services. В файле Swagger, описывающем API, были указаны четыре маршрута. Три требовали аутентификацию Azure AD, но маршрут /v2/Query такой проверки не имел и принимал необработанные SQL-запросы.
Чтобы понять структуру базы, Faav изучил сохранённые в Wayback Machine снимки страниц Titan за 2023 год. Там он нашёл архивную конфигурацию Apache Superset с описаниями 56 таблиц. Это позволило исследователю не действовать вслепую и составить запросы к нужным объектам.
Главная проблема оказалась в обработке токенов входа. Titan проверяла данные JSON Web Token — арендатора, аудиторию, идентификатор приложения и пользователя, — но не проверяла криптографическую подпись, которая должна подтверждать подлинность токена. Иными словами, система внимательно читала пропуск, но не проверяла, кто его выдал.
Faav отправил неподписанный токен. После десяти дней неудачных попыток он перестал подставлять адреса электронной почты в поле upn и указал простое значение admin. Titan сопоставила его с локальным пользователем с идентификатором 1 и выдала права администратора.
В работе исследователю помогал созданный им бот Antares. По словам Faav, он использовал OpenAI Codex и Anthropic Claude: перечислял поддомены, изучал поверхность атаки и последовательно проверял поддельный токен, ориентируясь на сообщения об ошибках. Но бот застрял на поиске UPN и перебирал только адреса электронной почты. До значения admin пришлось додуматься самому исследователю.
Администраторский доступ открыл метаданные платформы. По подсчётам Faav, там находились около 25 тысяч записей аккаунтов и адресов электронной почты, примерно 18 тысяч адресов сотрудников, 15 тысяч записей организаций, а также десятки тысяч описаний панелей мониторинга, графиков и наборов данных.
6–8 сентября Microsoft попросила прекратить тестирование и передать IP-адрес исследователя. 9 сентября уязвимый маршрут заблокировали, а 17 сентября выплатили вознаграждение. При этом Microsoft редактировала материал Faav перед публикацией: компания убрала отдельные фрагменты и цифры и изменила описание возможных последствий. Поэтому наиболее подробное публичное изложение инцидента уже прошло через редактуру самой организации.
Faav ранее находил похожие проблемы у Amazon, Google и Adobe, а также сообщал об уязвимости Microsoft. История Titan закончилась без подтверждённой масштабной утечки, но сам дефект был крайне опасным: отсутствие проверки подписи превращало остальные уровни контроля доступа в почти декоративную конструкцию.