Информатор от Microsoft твърди, че чуждестранен инженер е получил одобрение за достъп до облачни логове на правителството на САЩ

Лице, представящо се за вътрешен информатор от Microsoft, повдигна притеснения относно сигурността на правителствения облак, след като се появиха екранни снимки, показващи одобрение за инженер, за когото се твърди, че се намира в Индия, да получи логове от облачна среда на правителството на САЩ чрез процедурата за ескорт на Microsoft. Документите поставят въпроси относно контрола на достъпа, но не доказват осъществен неоторизиран достъп или пробив в сигурността.

Твърденията, споделени от Conspiracookie в X, посочват инженера от Microsoft Viraj Chokhany като заявител. Профилът съобщава, че неназован информатор е предоставил изображенията и твърди, че Chokhany не е гражданин на САЩ. Тази статия не е проверила независимо нито неговото гражданство, нито автентичността на екранните снимки.

Една от екранните снимки показва вътрешна страница „SPO Environments“, в която фигурира DProdMgd151 под „GCC-Moderate“ с кратко наименование „GCCM“. В същата таблица инфраструктурата на Министерството на отбраната е посочена отделно.

Тази разлика е от значение, тъй като предоставените доказателства се отнасят до правителствена облачна среда, а не до доказана връзка с класифицирани военни системи.

Друга екранна снимка показва инцидент 815678445, озаглавен „Escort Request: GCCM- Request to view GCC-M logs“. В нея Chokhany е посочен като създател, екипът O365 Escort Team е отбелязан като отговорен екип, а заявката е маркирана като разрешена. Запис в дискусията съдържа изображение с одобрение за неговия псевдоним на акаунт. Самото одобрение не доказва каква информация е била реално разкрита.

Допълнително изображение показва заявка за споделяне на логове от Geneva за два инцидента. Видимите връзки към заявки реферират към среда „dprodmgd151“ и дефиниции на задачи в SharePoint. Инструкциите изискват от получателя да зареди всички редове, да ги разгърне за визуализиране на пълните логове и да сподели резултатите. Предоставените екранни снимки не показват върнато съдържание от логовете.

Какво изискват правилата на Microsoft за GCC

Публикуваното описание на услугата GCC от Microsoft гласи, че служителите нямат постоянен достъп до клиентско съдържание. Служителите, които искат временни повишени права, които биха разкрили такова съдържание, трябва първо да преминат през проверки, включително верификация за гражданство на САЩ, проверки за съдебно минало и други проверки на надеждността.

Въпреки това същият документ посочва, че клиентската поддръжка за GCC не дава обща гаранция относно физическото местоположение или гражданството на специалиста по поддръжка. Той предупреждава клиентите да не споделят чувствителна информация, докато не потвърдят оторизацията на получателя. Това разграничение прави съдържанието на заявените логове от ключово значение за оценка дали защитена клиентска информация е преминала границата на достъп.

Екранните снимки не установяват дали заявените логове са съдържали клиентско съдържание, попадащо под тези проверки за гражданство. Те също така не идентифицират засегнатия правителствен клиент, нито показват осъществено прехвърляне на данни. Поради това посоченото от информатора нарушение на FedRAMP остава твърдение, а не потвърдена констатация за несъответствие.

Съгласно модела за дигитален ескорт, описан от ProPublica, упълномощен персонал от САЩ извършва дейности под ръководството на инженери извън страната. Разследването установи, че част от ескортите нямат техническите умения, необходими за надзор над инженери с по-висока експертиза, което отслабва предвидения контрол.

Предоставените указания към тикета добавят контекст. В тях се заявява: „ЕСКОРТИТЕ НЕ СА ИНЖЕНЕРИ“ и се очаква заявителите да предоставят информацията, необходима за изпълнение на техните задачи. Също така се посочва, че ескортите ще изпълняват командите точно както са написани в тикета и нямат право да извършват диагностика и отстраняване на неизправности. Тези инструкции заслужават внимание, но сами по себе си не доказват неправомерно поведение.

Cyber Security News по-рано отрази доклади относно базираните в Китай инженери за поддръжка на SharePoint в Microsoft. Това отразяване предоставя контекст относно споразуменията за задгранична поддръжка, но не и доказателство, че инженерът, посочен в тези екранни снимки, е действал неправомерно.

През август 2025 г. Пентагонът нарече използването на базирани в Китай инженери от страна на Microsoft „нарушение на доверието“ и изиска външен одит. Microsoft беше обявила край на поддръжката за облачните системи на Министерството на отбраната. Тези събития обаче засягаха отделно споразумение.

Отделно от това, атаките чрез уязвимости от тип нулев ден в SharePoint показват защо сигурността на правителствения сектор привлича засилено внимание. Това твърдение обаче изисква доказателства за действително споделените логове, обхвата на одобрението и мерките за защита, преди да може да бъде установен какъвто и да е пробив или нарушение на правилата.