Microsoft säger att WannaCrypt-attacken borde vara en väckarklocka för regeringar att sluta lagra sårbarheter

Microsoft har kommit under beskyllning från sådana som New York Times för att de inte har släppt uppdateringar för versioner av deras programvara som inte stöds, inklusive Windows XP, som är nästan gammal nog att rösta.

Nu i ett blogginlägg har Brad Smith, Microsofts VD och Chief Legal Officer, försökt lägga skulden där den delvis hör hemma – inte bara hos brottslingarna, utan även företag som är långsamma med att uppdatera sin programvara, och regeringar lagrar sårbarheter, och förhindrar därigenom Microsoft från att fixa dem, och sedan förlora dem i massor, vilket Microsoft likställer med att militären förlorar en massa Tomahawk-missiler.

Microsoft kritiserade de första företagen för att de inte uppdaterade sin programvara med de senaste patcharna och noterade att säkerheten var ett delat ansvar mellan leverantörer som släppte uppdateringar och kunder som tillämpade dem.

"När cyberbrottslingar blir mer sofistikerade finns det helt enkelt inget sätt för kunder att skydda sig mot hot om de inte uppdaterar sina system. Annars kämpar de bokstavligen mot nutidens problem med verktyg från det förflutna. Den här attacken är en kraftfull påminnelse om att informationsteknologins grunder som att hålla datorer uppdaterade och lappade är ett stort ansvar för alla, och det är något som varje toppchef bör stödja,” noterade Smith.

Många företag är naturligtvis ovilliga att distribuera patchar utan omfattande tester, något som Microsoft förstod, men Smith noterade att Microsoft använde "robusta tester och analyser för att möjliggöra snabba uppdateringar av IT-infrastruktur."

När det gäller statliga aktörers lager av sårbarheter, noterade Smith att "rupprepade gånger har bedrifter i händerna på regeringar läckt ut till det offentliga och orsakat omfattande skada,” som leder till den bisarra situationen med regeringsåtgärder som upprepade gånger leder till kriminella attacker.

Smith kallade WannaCrypt en väckarklocka och förnyade återigen en uppmaning till en "Digital Genèvekonvention" som kräver att regeringar tar hänsyn till risken för civila från att hamstra sårbarheter och som skulle inkludera ett nytt krav för regeringar att rapportera sårbarheter till leverantörer, snarare än att lagra, sälja eller utnyttja dem.

Microsoft sa att de var fast beslutna att göra sin del och uppmanade regeringar att själva vidta åtgärder för att skydda sina medborgare.

Läsa Brad Smiths fullständiga inlägg här.