Microsoft съобщи за инцидент в Exchange Online, при който легитимни имейли бяха грешно карантинирани за почти седмица поради дефектни евристични правила за откриване на фишинг кампании за кражба на идентификационни данни.

Според предварителния доклад на компанията, софтуерен проблем в системата за имейл сигурност довел до това хиляди легитимни URL адреси да бъдат маркирани като фишинг, блокирайки потребителите от отваряне на имейли и съобщения в Microsoft Teams.

Инцидентът, отбелязан от Microsoft като EX1227432, започва на 5 февруари и е напълно разрешен едва на 12 февруари. През този период потребителите не можеха да отварят линкове в съобщения, а някои имейли бяха напълно карантинирани.

Причини и ефект върху системата

Администраторите получавали предупреждения за „потенциално злонамерен клик върху URL“, които по-късно се оказали фалшиви положителни сигнали. Основната причина е логическа грешка в системата за откриване на нови фишинг атаки, която след обновяване започнала да маркира легитимни URL адреси в много по-голям обем от предвидения, предизвиквайки верига от автоматични действия, които усложнили проблема.

Други инструменти за сигурност в инфраструктурата на Microsoft също усилвали ефекта на инцидента, а отделен бъг в системите за сигнатури забавил отстраняването на дефектните правила.

Microsoft обяснява:

„Тази грешка възникна поради логическа грешка в евристичното откриване на нови фишинг кампании, която се прояви няколко часа след пускането на актуализацията. В резултат хиляди URL адреси бяха неправилно идентифицирани като фишинг, което доведе до блокиране на имейли и Teams съобщения и генериране на XDR предупреждения.“

Обхват и последствия

Компанията уточнява, че всеки потребител, получил имейли или Teams съобщения с конкретни URL адреси, може да е бил засегнат, но общият брой на засегнатите потребители все още не е публикуван. Microsoft класифицира инцидента като „сериозен“, което обикновено означава значително въздействие върху потребителите.

Microsoft обещава да публикува окончателен доклад в рамките на пет работни дни след пълното разрешаване на проблема. Компанията е имала и предишни случаи, при които имейли са били карантинирани или маркирани като спам по погрешка, включително проблеми с машинно обучение и антиспам услуги.

Този инцидент идва след наскоро разкрит проблем с Microsoft 365 Copilot Chat, който неправилно обобщаваше конфиденциални имейли от края на януари.