Microsoft: риски перебора имен пользователей в OneDrive и SharePoint

Корпорация Microsoft официально разъяснила ситуацию с потенциальной уязвимостью, связанной с перебором имен пользователей (UPN) через URL-адреса сервисов OneDrive и SharePoint. Несмотря на обеспокоенность экспертов по кибербезопасности, компания классифицировала данный метод разведки как низкорисковый, подчеркнув отсутствие прямой угрозы взлома при наличии базовых защитных мер.

• Сканирование URL в OneDrive может раскрыть UPN (имя пользователя), что используется для фишинга.
• Системные журналы не фиксируют подобные попытки сканирования, что усложняет мониторинг.
• Microsoft внедрила лимиты на запросы (ошибка 429), чтобы предотвратить массовый перебор адресов.
• Компания настаивает на внедрении многофакторной аутентификации (MFA) и политик условного доступа.

Механика угрозы и позиция Microsoft

Проблема заключается в том, что в структуру ссылок на файлы в OneDrive и SharePoint часто включены идентификаторы пользователей. Злоумышленники используют автоматизированные инструменты для перебора URL-адресов с целью сбора списка активных учетных записей. Хотя сам факт раскрытия имени пользователя не дает прямого доступа к аккаунту, полученная информация становится плацдармом для последующих атак: фишинга, социальной инженерии или попыток подбора паролей.

Microsoft отмечает, что такие действия носят пассивный характер. Поскольку механизмы оповещения для подобных поисковых запросов в Microsoft Purview отсутствуют, компания сфокусировалась на превентивных методах защиты. В частности, система автоматически блокирует подозрительную активность, выдавая ошибку 429 (Too Many Requests), что делает перебор больших диапазонов адресов экономически и технически невыгодным для атакующих.

Рекомендации по защите инфраструктуры

Для защиты от последствий утечки имен пользователей Microsoft настоятельно рекомендует использовать комплексный подход. Основой безопасности является Entra MFA и политики условного доступа (Conditional Access), которые делают кражу пароля недостаточным условием для проникновения в корпоративную сеть. Кроме того, компания делает упор на обучение персонала методам распознавания фишинговых атак.

Стоит напомнить, что в текущем году уже фиксировались инциденты, когда злоумышленники эксплуатировали легитимные функции администрирования M365 для атак на привилегированных пользователей. Методы социальной инженерии, направленные на подтверждение запросов MFA, остаются актуальной угрозой, требующей от ИТ-отделов повышенного внимания к настройкам безопасности.

Что это значит для бизнеса и ИТ-специалистов

Данное разъяснение Microsoft подчеркивает, что абсолютной анонимности в облачных средах добиться сложно, однако риски контролируемы. Для компаний в СНГ и Узбекистане это сигнал о необходимости аудита политик доступа в Microsoft 365. Если ваша организация до сих пор не настроила Entra Conditional Access и не обучила сотрудников распознавать сложные сценарии социальной инженерии, именно сейчас подходящее время для внедрения этих стандартов, чтобы минимизировать последствия возможной утечки UPN.