Microsoft Paintda Windows 11'da masofiyaviy hujumlar imkonini beruvchi jiddiy xato mavjud

Microsoft oʻz Edge brauzerini targʻaytirish uchun noqonuniy usullardan foydalanayotganligi ayblanmoqda. Ushbu taktikalar ichiga hujumkor reklama koʻrsatish va fayl formatlaridagi standartlarni oʻzgartirish kabi amallar kiradi, bu esa foydalanuvchilarni boshqa brauzer variantlariga oʻtishni qiyinlashtirishga qaratilgan.

Browser Choice Alliance (BCA) tomonidan tayyorlangan hisobot kompaniya tomonidan qoʻllaniladigan oʻn taqiqli «yashirin naqshlar» haqida batafsil maʼlumot beradi, masalan, boshqa brauzer standart sifatida sozlanganda ham havolalarni toʻgʻridan-toʻgʻri Edgeʼda ochish.

Hozirgi paytda Microsoft bu daʼvolar boʻyicha rasmiy bayonot bermagan. Garchi Microsoftning Edge mavjudligini bozorda oshirishga urinishi maʼlum boʻlsa-da, BCA kompaniyaning oʻz brauzerini ragʻbatlantirish uchun axloqsizlik strategiyalariga murojaat qilishini taʼkidlaydi.

BCA ushbu maqsad uchun Microsoft tomonidan joriy etilgan oʻn «iflos hila»ni tasvirlaydigan 46 sahifalik hujjatni eʼlon qildi. BCA brauzer ishlab chiqarayotgan tashkilotlardan iborat koalitsiya boʻlib, u asosan Windows foydalanuvchilarining qaysi brauzerni erkin tanlash huquqini himoya qiladi. Bu ittifoq aʼzolari orasida Google, Vivaldi, Opera, Midori, Wavebox va BrowserWorks kabi kompaniyalar mavjud.

Ushbu hisobot Behavioural Insights Team (BIT) tomonidan tayyorlangan va asosan Microsoftning foydalanuvchilarni Edge dan raqobatchi brauzerga oʻtishining oldini olish uchun qoʻllayotgan strategiyalarni tasvirlaydi. Bunday strategiyalar «dark patterns» deb tasniflanadi, yaʼni erkin tarjima qilinganda «yashirin naqshlar». Bu naqshlar foydalanuvchini ixtiyoriy ravishda qilmasligi kerak boʻlgan harakatlarni bajarishga undovchi texnik yoki dizayn yondashuvlarini anglatadi.

Microsoft Edge bilan bogʻliq qanday yashirin naqshlar qoʻllanilmoqda?

BIT tomonidan oʻtkazilgan tadqiqot uchta alohida toifa (yoki bosqich) boʻyicha tarqatilgan oʻn taqiqli naqshni aniqlaydi.

1-Toifa: Boshqa brauzerni oʻrnatishdan boshlab

Bu birinchi toifada quyidagi jihatlar kuzatiladi: hujumkor reklamalar, bunda foydalanuvchi Edge orqali boshqa brauzerlar haqida qidirayotganda Bing kabi xizmatlarda bannerlar yoki chaqiriqlarga duch keladi, bu uni Edgeʼda qolishga ishontirishga urinadi; fragmentli naqshlarni oʻzgartirish, bunda Microsoft Edgeʼni maʼlum fayl formatlari (masalan, PDF) uchun standart sifatida belgilashga harakat qiladi, foydalanuvchini turli fayl turlari uchun dasturiy taʼminotini bir necha marta qayta sozlashga majburlaydi; va S Rejimining cheklanishi, bu Windows S Rejimida ishlayotgan boʻlsa, raqobatchi brauzerlarni oʻrnatishga toʻsqinlik qiladi (xavfsizlikka yoʻnaltirilgan cheklangan rejim).

2-Toifa: Edgeʼdan majburiy foydalanish

Majburiy foydalanish mexanizmlari Windows qidiruv paneli kabi, bu boshqa brauzer standart sifatida sozlanganda ham mahalliy qidiruv natijalarini Edgeʼda ochadi; bloklash ekranidagi widgetlar va havolalar, ular ham standart sozlama boshqa boʻlsa ham, natijalarni Edgeʼda ochadi; yangiliklar kanali, chunki Windows 10 dagi ajratib koʻrsatilgan yangiliklar boshqa brauzer standart sifatida belgilanganda Edgeʼda ochiladi; Outlook va Teamsdagi havolalar, ular avtomatik ravishda Edgeʼda ochiladi, bu esa foydalanuvchidan ushbu xatti-harakatni boshqa brauzer uchun qoʻlda sozlashni talab qiladi; Microsoft brauzeriga havolalarning yoʻnaltirilishiga toʻsqinlik qilishga urinayotgan uchinchi tomon vositalarini bloklash; va tizimga kirilgandan soʻng Edge oynalarini majburan ochish, bu tizimning boshqa brauzer standart sifatida tanlangan boʻlsa ham, Edgeʼni avtomatik boshlashiga imkon beradi.

3-Toifa: Operatsion tizimni yangilash

Nihoyat, uchinchi toifa tizim yangilanishlaridan keyingi notoʻgʻri sozlamalar bilan bogʻliq boʻlib, bunda Microsoft Windows katta yangilanishni olgandan soʻng Edgeʼni yana standart sifatida belgilashga urinadi.

Androiddagi Microsoft Authenticator foydalanuvchilari qurilmalariga ilovaning eng soʻnggi versiyasini oʻrnatganligiga ishonch hosil qilishlari kerak. Ushbu yangilanish turli xizmatlardagi autentifikatsiya maʼlumotlariga hujumchi kirish imkonini berishi mumkin boʻlgan halokatli zaiflikni tuzatadi.

Xato raqamli xavfsizlik kompaniyasi Enclave tomonidan aniqlangan va CVSS 3.1 tizimida 8,6 ball (10 ballik miqyosda) baholanib, juda yuqori darajadagi jiddiyatni koʻrsatdi. Enclavega koʻra, hujumchi maxsus ruxsatlarga ega boʻlmagan holda ham, Microsoftning rasmiy ilovasi sifatida taqlid qilinadigan Android ilovasini yaratish orqali ushbu zaiflikdan foydalanishi mumkin va Authenticatorga tegishli autentifikatsiya tokenlarini yuborishga majburlashi mumkin.

Bu tokenlar qoʻlga kiritilganda, hujumchi bir nechta platformalardagi foydalanuvchi hisoblariga kirishni taʼminlaydi. Enclave tomonidan oʻtkazilgan sinovlarda elektron pochta, jadval va fayllar kabi maxfiy maʼlumotlarga kirish mumkinligi aniqlandi.

Enclave bu zaiflik haqida Microsoftga xabar berdi va u 2026-yil 8-sentabrda ommaga eʼlon qilingan CVE-2026-80097 roʻyxati orqali muammoni tan olgan. Garchi texnik tafsilotlar Enclave tomonidan faqat yaqinda oshkor qilingan boʻlsa-da, dastlabki aloqa tez amalga oshirilgan.

Xatarni kamaytirish uchun Microsoft Authenticatorning 6.2606.4246 yoki undan yuqori versiyasini oʻrnatish tavsiya etiladi. Oʻrnatilgan versiyani Android telefon yoki planshetida Google Play Storedagi Microsoft Authenticator sahifasiga kirish orqali tekshirish mumkin.

Microsoft Authenticator Android va iOS bilan mos keladigan ilova boʻlib, son-sanoqsiz xizmatlarda ikki faktorli autentifikatsiyani osonlashtiradi. Bundan tashqari, u kirish uchun vaqtinchalik tekshiruv kodlarini yaratishga xizmat qiladi va parollarni kiritish zaruriyati boʻlmagan holda baʼzi Microsoft xizmatlariga kirish imkonini beradi.

Microsoft kompaniyasi Hindistondagi va yana uchta boshqa mamlakatdagi bir qator xodimlarga istalgan vaqtda ishdan ketish imkoniyatini taqdim etdi. Mavjud maʼlumotlarga koʻra, taxminan 60 000 nafar xodim bu sotib olish dasturiga qatnashish huquqiga ega. Ushbu eʼlon kompaniya xodimlari orasida sezilarli xavotir uygʻotdi.

Hindistonlik dasturiy taʼminot ishlab chiquvchilaridan biri bunday taklifni olgandan keyingi his-tuygʻularini baham koʻrdi. U Microsoftda ishlashni boshlaganidan uch oy oʻtgach, tegishli elektron xat olganini maʼlum qildi.

Bu xodim oʻz hikoyasini ijtimoiy platforma Redditda joylashtirdi. clock-maker365 nomli foydalanuvchi r/developersindia subredditingda post eʼlon qildi. Xabarida u kuchli xavotir bildirdi, Microsoftga atigi uch oy oldin qoʻshilganini va kod bazasi haqida juda cheklangan bilimga ega ekanligini taʼkidladi. Bu dastlabki post keyinchalik oʻchirib tashlandi.

Ishlab chiquvchiga faqat bir necha soat oldin, yaʼni post eʼlon qilinishidan taxminan uch soat oldin kelgan xat orqali kelajagini belgilash boʻyicha yakuniy muddat berildi – 1 dekabr. Postda xat shu vaqtdan keyin kelganligi aytilgan. Microsoft 60 ming nafar xodimga ixtiyoriy pensiyaga chiqish imkoniyatini beradi. Taklifning mohiyati Microsoftdagi karyerani 31 dekabrda yakunlash bilan pul mukofoti olishdir. Ariza topshirishning oxirgi muddati 1 dekabr deb belgilangan.

Ishlab chiquvchi postida ushbu xat kompaniyaning barcha xodimlariga yuborilmaganini aniqlashtirdi. U taʼkidladi, garchi taklif koʻplarga moʻljallangan boʻlsa-da, u faqat tanlangan baʼzi odamlarga yetib kelgan va u ulardan biridir. Ishlab chiquvchi, hatto agar u taklifni rad etsa ham, Microsoft uni kompaniyadan ishdan boʻshatishi mumkinligini aytdi. U bunday xat olishi uning ismi qisqartirish roʻyxatiga kiritilgan va kompaniya qandaydir tarzda uning ketishini taʼminlaydi deb taxmin qildi.

Microsoft yangi ishdan boʻshatishlar toʻlqinining boshlanishi haqidagi xavotirlarga hali izoh bermagan. Biroq, avvalgi yil boshida kompaniya allaqachon baʼzi katta xodimlarga ixtiyoriy pensiyaga chiqishni taklif qilgan edi, natijada taxminan 4 800 kishi ishdan boʻshatilgan edi.

Ishlab chiquvchi shuningdek chuqur chalkashlikni ifodaladi, soʻnggi uch oy davomida qattiq mehnat qilganiga qaramay, kelajagi haqida juda xavotirda ekanligini taʼkidladi. U bu yirik korporatsiyaning ish bozoridagi beqaror vaziyatga tushish uchun nima uchun shuncha koʻp mehnat qilganini oʻylab qoldi? U oʻzining zaxira rejasi boʻlmagani sababli Reddit foydalanuvchilariga kelajagi haqida maslahat soʻradi. U oʻzida uch yillik tajriba borligini, oilaviy biznesi yoʻqligini va faqat olti oylik mablagʻi borligini maʼlum qildi. U DSA bilan shugʻullanishi mumkinligini, ammo bu koʻnikmaning talab qilinishiga shubha bildirib, uni eng kam foydali kompetensiyalardan biri deb hisoblaydi. U nimani qilish kerakligini soʻradi.

Garchi post Redditdan oʻchirilgan boʻlsa-da, ishlab chiquvchi kommentariyga javoban unga taklif qilingan yakka tartibdagi toʻlov hajmini maʼlum qildi. Unga ikki yoki uch oylik asosiy maosh + bir hafta asosiy maosh va olti oylik ishlash uchun ikki haftalik asosiy maosh kompensatsiyasi taklif qilindi. Boshqa bir foydalanuvchi Microsoft CV da mavjudligi ishlab chiquvchiga yangi ish topishni osonlashtiradi, chunki Microsoftda ishlaydigan har kim istalgan kompaniyada muvaffaqiyatga erishishi mumkin deb taʼkidladi. Yana bir foydalanuvchi esa bir oy oldin kompaniyaga qoʻshilganini va xuddi shunday taklif olganini aytib, suhbatdoshiga tejamlarni saqlash va tayyorlanishni tavsiya qildi, chunki MSFTda ishlaydiganlar uchun bozor shunchalik yomon emas.