Microsoft nomme les membres de Storm-2139 qui ont détourné Azure OpenAI avec des clés volées

Qui l’a déclenché

Acteur: Storm-2139 (Arian Yadegarnia, Alan Krysiak, Ricky Yuen, Phat Phung Tan)

Attribution: Nommés par la Digital Crimes Unit de Microsoft dans une plainte civile amendée (E.D. Virginia) ; membres situés en Iran, au Royaume-Uni, à Hong Kong et au Vietnam

Mobile: Revente d'accès illicites à des services d'IA générative et création d'images nuisibles ou non consenties

Comment c’est arrivé

Vecteur d’attaque: Clés d'API Azure OpenAI de clients collectées depuis des sources publiques, utilisées avec un outil sur mesure de3u et un reverse-proxy pour contourner les garde-fous de sécurité et revendre l'accès

Cause racine: Clients ayant divulgué leurs clés d'API dans du code et des configurations publics ; les clés seules suffisaient pour accéder au service, permettant les abus jusqu'à la détection d'un usage anormal

Chronologie

1. juil. 2024Microsoft découvre l'abus de clés d'API Azure OpenAI volées via l'outil de3u
2. déc. 2024La DCU de Microsoft porte plainte contre 10 inconnus devant le tribunal de l'Eastern District of Virginia ; le tribunal autorise la saisie d'un domaine clé
3. janv. 2025Levée des scellés sur les pièces ; des membres de Storm-2139 auraient en réaction divulgué les données personnelles des avocats de Microsoft
4. 27 févr. 2025Microsoft amende sa plainte en nommant quatre individus (Fiz, Drago, cg-dot, Asakuri)

Réponse

Microsoft a révoqué les accès, ajouté des contre-mesures de sécurité, saisi le site web de3u, engagé une action civile et transmis le dossier aux forces de l'ordre

Statut actuel: En cours