Сенатор США обвинил Microsoft в «грубой халатности» в кибербезопасности

Американский сенатор Рон Уайден направил письмо в Федеральную торговую комиссию (FTC) с призывом расследовать действия Microsoft. Политик обвиняет компанию в «грубой халатности в области кибербезопасности». Основная претензия связана с поддержкой в операционной системе Windows устаревшего алгоритма шифрования RC4, который, по мнению сенатора, уязвим для атак вымогателей.

Расследование, проведённое офисом Уайдена после ransomware-атаки на медицинского провайдера Ascension в прошлом году, показало, что поддержка шифра RC4 напрямую способствовала успеху взлома.

«Из-за опасных решений Microsoft в области разработки ПО, о которых компания в значительной степени умалчивала перед своими корпоративными и государственными клиентами, один-единственный сотрудник больницы, кликнувший не по той ссылке, может быстро привести к заражению ransomware всей организации», — заявил Уайден.

Алгоритм RC4 (Rivest Cipher 4) был разработан ещё в 1987 году и считался защищённым до 1994 года, когда его описание оказалось скомпрометировано. Несмотря на это, Microsoft до сих пор использует его для защиты Active Directory — компонента Windows для управления учётными записями.

Хотя Windows по умолчанию использует более современное шифрование AES, серверы всё ещё отвечают на запросы аутентификации, использующие RC4. Это открывает возможность для техники «Kerberoasting», когда злоумышленники получают административные привилегии, взламывая шифрование на одной машине, чтобы затем установить вредоносное ПО на другие.

В случае с Ascension клик по malicious-ссылке привёл к тому, что хакеры смогли перемещаться внутри серверной сети, используя слабое шифрование, и в итоге заразили тысячи компьютеров, похитив конфиденциальные данные 5,6 млн пациентов.

Сенатор также резко раскритиковал бизнес-модель Microsoft:

«Вместо того чтобы поставлять безопасное программное обеспечение, Microsoft построила многомиллиардный вторичный бизнес по продаже дополнительных кибербезопасных услуг тем организациям, которые могут себе это позволить. На данный момент Microsoft стала похожа на поджигателя, который продаёт услуги по тушению пожара своим же жертвам».

Он призвал FTC привлечь компанию к ответственности за поставки «опасного, небезопасного программного обеспечения» правительству США и объектам критической инфраструктуры.

В ответном заявлении Microsoft признала, что RC4 является устаревшим стандартом, и компания не рекомендует его использование. Однако полное отключение поддержки «нарушит работу многих клиентских систем».

Корпорация заявила, что находится на пути к постепенному сокращению его использования, предоставляя предупреждения и рекомендации по максимально безопасному применению. В первом квартале 2026 года новые установки доменов Active Directory на Windows Server 2025 будут по умолчанию отключать RC4, что защитит их от атак, использующих его уязвимости. Для уже развёрнутых систем планируется выпустить дополнительные меры защиты с учётом совместимости.