Un investigador de 16 años logró acceso de administrador a Microsoft Titan por un fallo en los tokens JWT

Un investigador de seguridad de 16 años consiguió privilegios de administrador en Titan, una plataforma interna de análisis de Microsoft, debido a un fallo crítico en la validación de los tokens JWT. La vulnerabilidad podía proporcionar acceso a consultas sobre una infraestructura que conectaba 17 bases de datos de análisis y que, según los metadatos examinados, contenía aproximadamente 17,3 billones de filas.

Esa cifra no significa que se robaran 17,3 billones de registros ni que existieran datos de ese número de personas. El investigador, conocido como Faav, calculó el volumen potencialmente accesible a partir de los metadatos de las bases de datos y limitó deliberadamente sus comprobaciones a información de estructura y muestras muy pequeñas antes de comunicar el problema a Microsoft.

El problema estaba en la verificación de los tokens JWT

Titan utilizaba JSON Web Tokens, o JWT, para determinar la identidad y los permisos de quien realizaba una petición. Estos tokens contienen información sobre el usuario y otros atributos, pero su seguridad depende de que el servidor compruebe correctamente su firma criptográfica.

Según la investigación publicada por Faav, Titan comprobaba distintos datos incluidos dentro del token, como el tenant, la aplicación y la identidad declarada, pero no verificaba su firma. Esto hacía posible modificar los atributos del token sin disponer de unas credenciales legítimas y conseguir que el servicio aceptara información manipulada como si fuera auténtica.

El investigador terminó descubriendo que el sistema utilizaba uno de esos atributos para localizar usuarios internos de la aplicación. Al identificarse como admin, Titan lo relacionó con el usuario local número 1, que tenía asignado el rol de administrador.

El acceso alcanzaba 17 bases de datos de análisis

Una vez conseguido ese nivel de permisos, Faav comprobó inicialmente una base de datos de pruebas que contenía información ficticia. Posteriormente pudo consultar los metadatos de la propia plataforma y determinar qué otras fuentes estaban conectadas al servicio.

La infraestructura incluía 30 destinos de enrutamiento activos que terminaban conectando con 17 bases de datos de análisis y 9.863 nombres de tablas distintos.

El investigador utilizó los contadores internos de ClickHouse para estimar el número de filas almacenadas y obtuvo un total de 17.333.335.124.315. El propio Faav advierte de que esta cifra puede incluir datos históricos, información derivada y otras duplicaciones propias de una plataforma de análisis.

Por tanto, los 17,3 billones representan una estimación del volumen de filas que técnicamente podían quedar al alcance del fallo, no la cantidad de datos descargados ni un recuento de usuarios afectados.

Había información sobre unas 25.000 cuentas de la plataforma

Dentro de los metadatos de Titan, el investigador encontró aproximadamente 25.000 registros relacionados con cuentas y direcciones de correo utilizadas por la aplicación. Entre ellos figuraban 17.990 registros de correo electrónico de empleados y 15.001 registros relacionados con su estructura organizativa.

La información estaba limitada a empleados asociados con Titan y no correspondía al directorio completo de trabajadores de Microsoft. Faav también aclaró que no utilizó estos datos para identificar personas, elaborar perfiles o realizar intentos de ingeniería social.

El investigador llegó además a confirmar que una fuente de análisis de Bing era accesible a través del servicio. Para verificarlo realizó únicamente dos consultas limitadas a una sola fila cada una, en lugar de descargar el conjunto de información disponible.

Un bot de IA trabajó durante diez días sobre el problema

La vulnerabilidad también destaca por el papel de Antares, una herramienta de investigación de seguridad basada en inteligencia artificial desarrollada por el propio Faav.

Antares encontró inicialmente la API de Titan y pasó unos diez días probando las distintas comprobaciones de autenticación. El sistema fue capaz de avanzar a través de varios errores relacionados con el tenant, la audiencia y las aplicaciones permitidas, pero no logró descubrir por sí mismo una identidad local válida.

La pieza final llegó por intervención humana. Faav decidió probar admin después de plantearse que el campo utilizado por Titan podía no estar buscando realmente una dirección de correo, sino un nombre de usuario almacenado localmente.

El investigador considera que el hallazgo fue resultado de la combinación entre la persistencia automatizada de su herramienta de IA y una decisión humana que el sistema no había considerado.

Microsoft cerró el acceso y pagó una recompensa de 5.000 dólares

Faav notificó la vulnerabilidad al Microsoft Security Response Center el 5 de septiembre de 2026. Microsoft pidió posteriormente que detuviera las pruebas mientras investigaba el problema.

El 9 de septiembre, el endpoint afectado quedó bloqueado como parte de las medidas de corrección. El investigador recibió el 17 de septiembre una recompensa de 5.000 dólares dentro del programa de bug bounty de Microsoft.

Microsoft también participó en el proceso de divulgación coordinada. Faav señala que la compañía revisó su publicación antes de que se hiciera pública y solicitó eliminar o reformular determinadas secciones y elementos relacionados con el impacto.

No hay constancia de una filtración de 17,3 billones de registros

El caso debe distinguirse de una brecha de datos en la que un atacante haya extraído masivamente información. Faav afirma que no accedió a datos de clientes ni a información personal a gran escala y que utilizó consultas limitadas para demostrar el alcance potencial del fallo.

La gravedad estaba en los permisos que podía proporcionar una autenticación defectuosa: una persona sin credenciales legítimas podía asumir una identidad administrativa y ejecutar consultas sobre fuentes internas conectadas a Titan.

Microsoft agradeció al investigador la divulgación coordinada y señaló que el aviso permitió reforzar la protección de sus servicios. La vulnerabilidad fue corregida antes de que Faav publicara los detalles técnicos de su investigación.