16 岁黑客伪造登录令牌入侵微软内网，可访问 17 万亿行数据

rez0__ · x · 2026-09-26

研究员 Faav 披露（获 5000 美元赏金）：微软内部分析服务 Titan 未校验登录令牌的签名，只检查其他字段，因此伪造一个声称身份为 admin 的未签名令牌即可通过验证，并以管理员权限执行 SQL，触达超过 17 万亿行数据的数据库，包括 Bing 搜索分析与 17,990 条员工邮件记录。Faav 表示自己只拉取了元数据和两行 Bing 数据，未触碰客户数据，并在当晚就向微软报告。微软四天后封锁了该端点，支付 5000 美元赏金，并对他的披露文章拥有编辑权、删减了部分内容。原帖者 rez0 补充指出了 Faav 的账号。