Microsoft заявила, что не планирует подавать в суд на исследователей безопасности, которые проводят исследования и публикуют их результаты. Компания уточнила, что будет обращаться к правоохранительным органам только в случаях, когда действия нарушают закон и наносят реальный вред клиентам.
Заявление прозвучало после спора с исследователем безопасности Chaotic Eclipse, также известным как Nightmare-Eclipse. Он опубликовал эксплойт нулевого дня YellowKey, который, по его словам, позволял получить доступ к защищённым BitLocker накопителям на Windows 11 с помощью простого USB-ключа.
Nightmare утверждал, что Microsoft «намеренно» оставила бэкдор в механизме защиты. Microsoft признала наличие уязвимости в Windows, присвоила эксплойту идентификатор CVE-2026-45585 и опубликовала меры по снижению риска.
При этом компания указала, что исследователь не передал сведения об уязвимостях заранее в рамках своей политики Coordinated Vulnerability Disclosure, то есть согласованного раскрытия уязвимостей. По версии Microsoft, публикация неисправленных ошибок вместе с кодом эксплуатации могла поставить пользователей под риск.
Ранее Microsoft заявляла: «Несогласованное раскрытие, которое передаёт злоумышленникам proof-of-concept код для неисправленных уязвимостей, никогда не может быть оправдано и имеет последствия в реальном мире. Наше подразделение Digital Crimes Unit продолжит возбуждать дела против таких лиц и тех, кто способствует их преступной деятельности, при необходимости совместно с правоохранительными органами по всему миру».
До этого Nightmare говорил, что компания заблокировала его аккаунт GitHub и удалила учётную запись Microsoft, которая использовалась для отправки отчётов об ошибках. Он также заявил: «Мне лично сказали, что [Microsoft] разрушит мою жизнь, и они это сделали», назвав действия компании мстительными.
В комментарии Windows Central представитель Microsoft отверг эти заявления. По его словам, Microsoft не удаляет аккаунты портала MSRC, через который любой исследователь может отправить компании сведения об уязвимости. Компания добавила, что не может подтвердить, о какой именно учётной записи идёт речь.
Основатель BugCrowd Кейси Джон Эллис в комментарии Dark Reading сказал, что ситуация вокруг Nightmare получилась запутанной. При этом он назвал решение Microsoft добиваться уголовного преследования исследователя «безумно близоруким шагом», особенно с учётом вложений компании в образ безопасного, прозрачного и открытого для исследователей вендора.
После критики со стороны сообщества Microsoft смягчила позицию и заявила: «Чтобы ясно обозначить наш подход к юридическим вопросам, у нас нет намерения предпринимать действия против лиц, которые проводят или публикуют свои исследования безопасности. Если человек нарушает закон и ведёт вредоносную деятельность, причиняя реальный ущерб нашим клиентам, мы будем взаимодействовать с правоохранительными органами по мере необходимости».
Директор по исследованию угроз в Volexity Эндрю Кейс, комментируя первоначальную реакцию компании, заявил: «MSRC решила уничтожить весь запас доверия, который выстраивала последнее десятилетие».
Пока неясно, повлияет ли этот конфликт на готовность исследователей и дальше передавать Microsoft отчёты об уязвимостях. При этом компания уже признала важность вклада исследовательского сообщества в поиск и передачу сведений о проблемах безопасности.
Источник: Windows Central, Dark Reading.
