2 сентября 2026 года пользователи Microsoft 365 по всему миру столкнулись с необычной проблемой: при попытке открыть рядовую ссылку на результаты поиска Google из электронной почты или Microsoft Teams они видели пугающее предупреждение — «Открытие этого веб-сайта может быть небезопасным». Переход блокировался, страница не открывалась. Один из самых посещаемых сайтов в интернете внезапно попал в чёрный список корпоративной системы безопасности.
На самом деле речь шла о масштабном ложном срабатывании Defender for Office 365 — флагманского продукта Microsoft для защиты от фишинга и других угроз через электронную почту. Инцидент получил номер MO1465962 и стал ещё одним напоминанием о том, что даже самые совершенные системы защиты не застрахованы от ошибок.
Проблема проявилась ранним утром 2 сентября — в 02:53 UTC (05:53 MSK) — и затронула функцию Safe Links. Этот механизм, который должен защищать пользователей от перехода по вредоносным ссылкам, работает по принципу «проверки в момент клика»: когда пользователь нажимает на ссылку в письме, Defender перенаправляет запрос через свои серверы, проверяет репутацию URL и только затем разрешает или блокирует переход.
На этот раз система дала сбой: Safe Links начала массово помечать легитимные адреса Google Search (например, https://www.google.com/search?q=…) как потенциально опасные.
Пользователи видели стандартное предупреждение Defender:
Opening this website might not be safe
(Открытие этого веб-сайта может быть небезопасным)
Кнопка «Продолжить» либо отсутствовала, либо не работала — переход просто не осуществлялся.
Microsoft обнаружила проблему и подтвердила её в 10:30 UTC (13:30 MSK). Ещё через несколько часов — в 10:17 UTC того же дня — компания объявила об устранении сбоя.
Таким образом, инцидент длился около 7 часов 24 минут. Для кого-то это прошло незаметно, но для тех, кто активно использует Google Search в рабочей переписке или Teams-чатах, семь часов без возможности открыть поисковик стали ощутимым препятствием.
Особенно неприятно было то, что копирование URL и вставка его напрямую в браузер не помогала. Safe Links переписывает ссылки и продолжает проверять их даже при прямом вводе в адресную строку, если изначально ссылка пришла через защищённый канал (письмо или Teams).
Что же пошло не так? Microsoft объяснила инцидент «некорректной классификацией безопасности» (inaccurate security classification) в процессе оценки репутации URL.
Внутренний алгоритм Defender, который должен определять, насколько тот или иной домен или URL опасен, дал сбой и по ошибке записал Google Search в категорию «подозрительных ресурсов». Компания подчеркнула, что проблема связана с внутренним сбоем в модели обнаружения угроз, а не с реальной опасностью ссылок.
Точная техническая причина не была раскрыта — Microsoft не уточнила, было ли это связано с обновлением сигнатур, изменением в логике репутации или ошибкой в правилах классификации.
Microsoft не уточнила, сколько именно клиентов или какие регионы пострадали, и классифицировала проблему как advisory (рекомендательное уведомление), что предполагает ограниченное воздействие.
В основном инцидент затронул пользователей Defender for Office 365, которые получали письма или сообщения Teams со ссылками на Google Search.
Кроме того, соответствующие алерты и инциденты в Microsoft Defender portal и Microsoft Sentinel, могли получать администраторы сетей, так как ложные срабатывания записывались как инциденты безопасности. Это создавало дополнительный шум в логах и могло отвлекать команды безопасности от реальных угроз.
До завершения расследования компания рекомендовала администраторам:
- Мониторить связанные алерты в Defender и Sentinel.
- Не отключать Safe Links как универсальное решение, так как это ослабит защиту от реальных угроз.
Компания заявила, что пересматривает алгоритм сканирования URL в Defender, чтобы предотвратить повторение подобных инцидентов в будущем .
Обновлено: В обновлении от 3 сентября BleepingComputer подтвердил, что Microsoft устранила проблему .
С заботой о вашей безопасности, команда Origin Security
Источник изображения: Magnific.com
