Microsoft расследует проблему в Defender for Office 365, из-за которой антивирус ошибочно определяет легитимные ссылки из поиска Google как вредоносные.
Компания впервые подтвердила сбой, который отслеживается под идентификатором MO1465962, 2 сентября в 13:30 по московскому времени. По данным Microsoft, затронутые пользователи видят предупреждение «Открытие этого сайта может быть небезопасным» при попытке перейти по заблокированным ссылкам.
Окно блокировки Safe Links. Изображение: Microsoft
Согласно уведомлению о состоянии сервиса, проблема связана с некорректной классификацией ссылок системой безопасности. При этом скопировать ссылку и вставить её напрямую в браузер не поможет – предупреждение всё равно появляется.
Microsoft также предупредила IT-администраторов, что из-за продолжающегося сбоя они могут получать соответствующие предупреждения в системе управления информацией и событиями безопасности (SIEM) Microsoft Sentinel и на портале Microsoft Defender.
Компания заявила:
Microsoft Defender for Office 365 Safe Links может блокировать открытие ссылок поиска Google, определяя их как вредоносные. Кроме того, из-за таких срабатываний администраторы могут получать связанные предупреждения и уведомления об инцидентах в Microsoft Defender и Microsoft Sentinel.
Мы установили, что причиной проблемы стала некорректная классификация безопасности, из-за которой легитимные URL-адреса поиска Google ошибочно определяются как вредоносные. В результате функция Safe Links в Microsoft Defender for Office 365 блокирует доступ к затронутым ссылкам. Мы работаем над исправлением ошибочной классификации, чтобы устранить последствия сбоя.
Функция Safe Links предназначена для блокировки вредоносных ссылок, используемых в фишинговых и других атаках. Она переписывает ссылки во входящих письмах во время обработки почты, а затем проверяет URL непосредственно в момент перехода по ним. Такая проверка работает в электронных письмах, Microsoft Teams и приложениях Office 365 в организациях с лицензией Defender for Office 365.
Речь идёт о корпоративной защите почты из подписки Defender for Office 365, а не о встроенном антивирусе Windows. На домашних компьютерах Microsoft Defender ссылки в письмах не переписывает, и сбой его не затрагивает.
Microsoft пока не уточнила, какие регионы затронуты проблемой и сколько клиентов столкнулись со сбоем. При этом компания классифицировала инцидент как «advisory» – такой статус обычно используется для проблем с сервисами, которые имеют ограниченный масштаб или влияние.
За последние несколько лет Microsoft уже устраняла похожие проблемы с ложными срабатываниями, из-за которых легитимные ссылки и сообщения ошибочно помечались как вредоносные или отправлялись в карантин. Например, в прошлом году ошибка в Exchange Online привела к тому, что модель машинного обучения ошибочно определяла письма с аккаунтов Gmail как спам. Ещё один сбой заставлял антиспам-системы помещать в карантин легитимные письма некоторых пользователей. В феврале сбой в Exchange Online не позволял пользователям отправлять и получать электронные письма. При этом легитимные сообщения ошибочно определялись как фишинговые и помещались в карантин.
Ошибки случаются и во встроенном антивирусе Windows. В мае Microsoft Defender принял корневые сертификаты DigiCert за троян Cerdigent на компьютерах по всему миру, а в конце августа после установки обновлений антивируса начал сообщать о выключенной защите, хотя она продолжала работать.
Кроме того, Microsoft сейчас работает над устранением масштабного сбоя Microsoft 365, который вызывает проблемы с аутентификацией, задержки и сбои в работе сервисов, проблемы с подключением и другие неполадки.