Microsofts Live Hotmail gehackt

Bij nadere analyse bleek dat mailtje een verborgen script te bevatten dat de Hotmail-server de opdracht gaf de e-mailberichten naar een bepaald e-mailadres te sturen. Daarvoor hoefde het mailtje niet eens geopend te worden; het bekijken in de ‘preview-mode’ volstond om het script tot uitvoer te brengen.

Eén van de meest gemaakte programmeerfouten
De hackmogelijkheid ontstond door een cross site scripting-fout in Microsofts webmail-dienst. Dat is een sinds jaar en dag bekende fout die hoog scoort op de top 25 programmeerfouten die het Sans Institute jaarlijks publiceert. Trend Micro stelde Microsoft daar direct van op de hoogte; dat had vervolgens nog een week nodig om het lek te dichten.

Zeker enkele duizenden Hotmail-gebruikers zijn slachtoffer geworden van de hack, stelt Trend Micro. Maar mogelijk zijn het er meer; het is onduidelijk hoe lang het lek in Live Hotmail al geëxploiteerd werd. Onduidelijk is ook wat de schade voor de getroffenen is. Dat hangt natuurlijk vooral ook af van de vraag, of hun mailtjes informatie bevatten die voor cybercriminelen bruikbaar is.