16 वर्षीय हैकर ने Microsoft के 17 ट्रिलियन रिकॉर्ड तक पहुँच खोजी
मूल शीर्षक: I Could've Accessed 17T Microsoft Records
यह क्यों महत्वपूर्ण है
JWT signature न जाँचने जैसी बुनियादी चूक से अरबों रिकॉर्ड खतरे में पड़ सकते हैं — यह API security की गंभीर कमज़ोरी उजागर करती है।
एक 16 वर्षीय सुरक्षा शोधकर्ता Faav ने Microsoft की आंतरिक analytics सेवा 'Titan' में JWT signature सत्यापन की खामी ढूंढी, जिससे अनुमानित 17.3 ट्रिलियन पंक्तियों तक अनधिकृत SQL पहुँच संभव थी।
अगस्त 2026 में Faav के AI-आधारित हैकिंग टूल Antares ने Microsoft की आंतरिक Titan सेवा की पहचान की। Titan का frontend VPN के पीछे था, लेकिन API का एक अलग endpoint सार्वजनिक रूप से सुलभ था। इसके Swagger दस्तावेज़ में चार routes थे — और /v2/Query, जो raw SQL स्वीकार करता था, उसमें Azure AD authentication की जाँच नहीं थी।
Faav ने Wayback Machine से 2023 के Titan snapshots निकाले और 56 table definitions बरामद कीं। इसके बाद Antares ने दस दिन तक JWT validation की परतें एक-एक कर तोड़ीं — tenant error, फिर audience error, फिर application allowlist की दीवार। अंततः सेवा ने token का signature ही नहीं जाँचा, जिससे administrator की पहचान लेकर SQL queries भेजना संभव हो गया।
Faav ने स्पष्ट किया कि उन्होंने केवल table metadata और सीमित sample rows देखे — कोई customer data या PII नहीं छुआ। खोज की रिपोर्ट Microsoft Bug Bounty Program के तहत की गई। Microsoft ने इस खुलासे को "coordinated vulnerability disclosure" बताते हुए Faav का आभार जताया और कहा कि इससे उनकी सेवाएँ मज़बूत हुईं। उल्लेखनीय है कि Microsoft ने प्रकाशन से पहले इस लेख के कुछ अनुभाग और आँकड़े हटवाए।