La vulnerabilidad de Microsoft Office 365 permite a los piratas eludir el cifrado de correo electrónico

¿Te perdiste una sesión de MetaBeat 2022? Dirígete a la biblioteca a pedido para ver todas nuestras sesiones destacadas aquí.

Pocas soluciones son más ampliamente adoptadas por las empresas que Office 365. Según Statista, más de 879 851 empresas en los Estados Unidos usan productos de Office 365 para colaborar y mantenerse productivos. Sin embargo, una nueva investigación sugiere que la plataforma podría dejar los correos electrónicos cifrados vulnerables al descifrado por parte de los piratas informáticos.

Un investigador del proveedor de protección en la nube y endpoint WithSecure descubrió una falla que no se puede corregir en Microsoft Office 365 Message Encryption (OME). La falla le permite a un hacker deducir el contenido de los mensajes encriptados.

OME utiliza el cifrado Electronic Codebook Block (ECB), que filtra información estructural sobre el mensaje. Esto significa que si un atacante recibe muchos correos electrónicos, puede inferir el contenido de los mensajes analizando la ubicación y la frecuencia de los patrones en los mensajes y comparándolos con otros correos electrónicos.

Para las empresas, esto subraya que el hecho de que sus correos electrónicos estén encriptados no significa que estén a salvo de actores malintencionados. Si alguien roba sus archivos de correo o copias de seguridad y obtiene acceso a su servidor de correo, puede usar esta técnica para eludir el cifrado.

Vértice de código bajo/sin código

Únase a los principales líderes de hoy en Low-Code/No-Code Summit virtualmente el 9 de noviembre. Regístrese para obtener su pase gratis hoy.

El descubrimiento se produce poco después de que los investigadores descubrieran que los piratas informáticos estaban encadenando dos nuevos exploits de Exchange de día cero para apuntar a los servidores de Microsoft Exchange.

WithSecure compartió originalmente su descubrimiento de la vulnerabilidad de Office 365 con Microsoft en enero de 2022. Microsoft lo reconoció y pagó al investigador a través de su programa de recompensas por vulnerabilidades, pero no lanzó un parche.

Es importante tener en cuenta que Microsoft no es el único proveedor que recibe críticas por usar ECB. Hace solo unos años, Zoom recibió fuertes críticas por elegir AES-128 ECB para encriptar llamadas y exponer videos privados a personas no autorizadas.

Aunque esta vulnerabilidad de Office 365 no descifra directamente el contenido del mensaje, si un atacante puede encontrar suficientes patrones de correo electrónico, la información protegida podría filtrarse a través de la inferencia.

Una "parte maliciosa que accede a correos electrónicos encriptados puede extraer cierta información de correos electrónicos supuestamente encriptados. Dependiendo de las características del contenido específico del correo electrónico, la divulgación puede ser (casi) completa o parcial", dijo Harry Sintonen, consultor principal de seguridad. en WithSecure.

Cuantos más correos electrónicos cifrados consiga recopilar un atacante, más fácil le resultará comparar patrones y descifrar el contenido de los mensajes. En términos del nivel de riesgo que representa esta vulnerabilidad, Sintonen señaló que los usuarios de alto riesgo serían "aquellos que usan OME para cifrar correos electrónicos y archivos adjuntos altamente confidenciales, y para quienes es importante evitar revelar las fuentes (o partes de la comunicación). en general) Un buen ejemplo serían activistas o periodistas”, dijo.

Por ejemplo, si un periodista envía un documento altamente confidencial a un contacto, un actor de amenazas patrocinado por el estado podría crear una huella digital para él, escanear otros correos electrónicos encriptados e identificar a quién envió el documento el objetivo.

Con el número de