I could've accessed 17T Microsoft records
В 2026 году 16-летний исследователь безопасности Фаав обнаружил критическую уязвимость в внутреннем сервисе Microsoft Titan, позволявшую обойти аутентификацию. Сервис не проверял цифровую подпись JWT-токенов — достаточно было подделать поле upn на admin, чтобы получить права администратора и выполнять произвольные SQL-запросы к 17,3 триллионам строк данных без реальных учётных данных. Доступ к таблицам был получен лишь через метаданные из архивов Wayback Machine и тестовые примеры, без доступа к внутренней сети.
Фаав использовал собственный AI-бота Antares для автоматического поиска уязвимостей, но ключевой прорыв произошёл после ночной догадки: замена upn на admin сработала. Уязвимость была немедленно исправлена Microsoft, за что исследователь получил $5 000. Важнейший урок: даже сложные системы аутентификации бесполезны, если не проверяется подпись токена — это фундаментальная ошибка, которую легко допустить, но невозможно игнорировать.