Het beveiligingsbedrijf Crowdstrike heeft een verborgen bewakingsfunctie gedetecteerd in Office 365 van Microsoft.
Office 365, de cloud-gebaseerde kantoorsoftware van Microsoft, verbergt een interface waarmee beheerders nauwlettend de e-mailpostvakken van bedrijfsmedewerkers kunnen controleren. Deze zogenaamde "Activity" -interface is tot nu toe niet gedocumenteerd en werd niet vermeld in Microsoft's Office 365-documentatie.
De interface is ontdekt door beveiligingsbedrijf Crowdstrike, die de diverse mogelijkheden van de API uitlegt in een gedetailleerde blogpost.
Wanneer Office 365 wordt gebruikt in een onderneming voor e-mailverkeer, beschikken beheerders met de juiste rechten over uitgebreide monitoringmogelijkheden via de e-mailboxen van alle gebruikers. Zoals uitgelegd door heise.de, kunnen alle processen in deze mailboxen tot op de seconde worden gevolgd.
Een beheerder kan dan bijvoorbeeld zien wanneer een werknemer een e-mail ontving van welke afzender, toen hij het las en eventuele bijlagen opende, de e-mail doorstuurde of beantwoordde. De toegangsrechten zijn dus groter dan wanneer het bedrijf een eigen mailserver zal beheren en de activiteiten van de werknemers zal kunnen controleren. De enige inhoud waarvoor de API geen toegang biedt, is de gewone e-mailtekst. Bijzonder lastig: de bewaakte medewerker merkt niet dat zijn e-mailinbox momenteel wordt bekeken of gecontroleerd door een beheerder.
Op verzoek van heise bevestigde Microsoft het bestaan van de interface. De API is echter uitsluitend bedoeld voor het service-to-service-gebied. Het bedrijf adviseert om het niet te gebruiken voor veiligheidsonderzoeken.
Office 365, de cloud-gebaseerde kantoorsoftware van Microsoft, verbergt een interface waarmee beheerders nauwlettend de e-mailpostvakken van bedrijfsmedewerkers kunnen controleren. Deze zogenaamde "Activity" -interface is tot nu toe niet gedocumenteerd en werd niet vermeld in Microsoft's Office 365-documentatie.
De interface is ontdekt door beveiligingsbedrijf Crowdstrike, die de diverse mogelijkheden van de API uitlegt in een gedetailleerde blogpost.
Wanneer Office 365 wordt gebruikt in een onderneming voor e-mailverkeer, beschikken beheerders met de juiste rechten over uitgebreide monitoringmogelijkheden via de e-mailboxen van alle gebruikers. Zoals uitgelegd door heise.de, kunnen alle processen in deze mailboxen tot op de seconde worden gevolgd.
Een beheerder kan dan bijvoorbeeld zien wanneer een werknemer een e-mail ontving van welke afzender, toen hij het las en eventuele bijlagen opende, de e-mail doorstuurde of beantwoordde. De toegangsrechten zijn dus groter dan wanneer het bedrijf een eigen mailserver zal beheren en de activiteiten van de werknemers zal kunnen controleren. De enige inhoud waarvoor de API geen toegang biedt, is de gewone e-mailtekst. Bijzonder lastig: de bewaakte medewerker merkt niet dat zijn e-mailinbox momenteel wordt bekeken of gecontroleerd door een beheerder.
Op verzoek van heise bevestigde Microsoft het bestaan van de interface. De API is echter uitsluitend bedoeld voor het service-to-service-gebied. Het bedrijf adviseert om het niet te gebruiken voor veiligheidsonderzoeken.