Sí resulta menos habitual que esta clase problemas los protagonice Microsft Teams rival de Zoom que ostenta la cifra de 44 millones de usuarios diarios.
Ocurre que la vulnerabilidad descubierta en esta app de trabajo en grupo es especialmente llamativa: la mera visualización, ya no descarga de un mero archivo GIF malicioso dejaba indefensa la cuenta de un usuario o a todo un equipo al mismo tiempo.
La falla se registraba en dos canales uno web y otro celular, según acota el sitio CyberArk Labs. y descrita en su página web.
De acuerdo con la información surgida de Microsoft en estos días trabajan junto a la empresa que describió la vulneralidad para informar las correcciones. La empresa argumenta que la técnica invasiva no fue usada.
"Hemos tomado medidas para salvaguardar la seguridad de nuestros clientes pese a que no hemos tenemos constancia de que esta técnica haya llegado a usarse", explican
En realidad este archivo de imagen sólo era un medio para aprovechar una vulnerabilidad más profunda, centrada en un robo de cookies previa pérdida de control por parte de Microsoft de dos de sus subdominios, mal supervisados: aadsync-test.teams.microsoft.com y data-dev.teams.microsoft.com.
"El hecho de que la víctima sólo necesite ver el archivo para verse afectada constituye una pesadilla desde el punto de vista de la ciberseguridad" reconoce la empresa.
El control de dichos subdominios facilitaba lograr que Teams enviara a los mismos tokens de autenticación, que se modificaban para hacerlos pasar por tokens de Skype una vez la víctima hiciera click en el GIF malicioso (alojado en alguno de los subdominios en cuestión) y facilitar el acceso al cliente del usuario.
