Microsoft identifica a miembros de Storm-2139 que secuestraron Azure OpenAI con claves robadas

Quién lo provocó

Actor: Storm-2139 (Arian Yadegarnia, Alan Krysiak, Ricky Yuen, Phat Phung Tan)

Atribución: Nombrados por la Unidad de Crímenes Digitales de Microsoft en una demanda civil modificada (Distrito Este de Virginia); miembros ubicados en Irán, Reino Unido, Hong Kong y Vietnam

Motivo: Reventa de acceso ilícito a servicios de IA generativa y creación de imágenes dañinas o no consentidas

Cómo ocurrió

Vector de ataque: Claves de API de Azure OpenAI de clientes recopiladas de fuentes públicas, usadas con una herramienta personalizada de3u y un proxy inverso para eludir las salvaguardas de seguridad y revender el acceso

Causa raíz: Clientes que filtraban claves de API en código y configuraciones públicas; las claves por sí solas bastaban para el acceso, lo que permitió el abuso hasta que se detectó un uso anómalo

Cronología

1. jul 2024Microsoft descubre el abuso de claves de API de Azure OpenAI robadas a través de la herramienta de3u
2. dic 2024La DCU de Microsoft presenta una demanda contra 10 personas no identificadas en el Distrito Este de Virginia; el tribunal autoriza la incautación de un dominio clave
3. ene 2025Se desclasifican los expedientes; miembros de Storm-2139 presuntamente publican datos personales de los abogados de Microsoft como respuesta
4. 27 feb 2025Microsoft modifica la demanda nombrando a cuatro individuos (Fiz, Drago, cg-dot, Asakuri)

Respuesta

Microsoft revocó el acceso, añadió contramedidas de seguridad, incautó el sitio web de de3u, emprendió litigios civiles y remitió el caso a las fuerzas del orden

Estado actual: En curso