Hotmail-Hacking für 20 US-Dollar

Ein Teilnehmer eines Hackerforums hat das Angebot unterbreitet, für 20 US-Dollar innerhalb einer Minute jeden beliebigen Hotmail-Account zu knacken – und er hat sein Wort gehalten, wie das Blog whitec0de.com berichtet. Denn der Hacker hatte offenbar in einem Sicherheitsforum von einer kritischen Schwachstelle in Microsofts Maildienst erfahren, durch die er prinzipiell das Passwort jedes Hotmail-Nutzers ändern konnte.

Laut dem Blog sind dadurch auch einige Nutzer zu Schaden gekommen; etwa, weil sie sich mit ihrem Hotmail-Account auch bei Bezahldiensten wie Paypal angemeldet hatten. Außerdem haben dadurch angeblich besonders attraktive, kurze Accountnamen wie ab@hotmail.com oder xxx@hotmail.com den Besitzer gewechselt.

Details zur Lücke hat der Sicherheitsexperte Benjamin Kunz Mejri, der die Lücke in etwa zeitgleich zu den oben geschilderten Ereignissen entdeckt hat, in einem Advisory veröffentlicht. Demnach hat sich die Schwachstelle in der Funktion "Kennwort zurücksetzen" befunden. In einem Schritt hat der Hotmail-Server offenbar die Existenz eines Tokens überprüft, nicht aber dessen Inhalt.

Hatte man in eine bestimmte Anfrage ein Token wie "+++)-" eingeschleust, konnte man laut dem Advisory jeden beliebigen Account übernehmen. Kunz Mejri hat die Lücke nach eigenen Angaben am 6. April an Microsoft gemeldet, am 21. April soll das Unternehmen das Problem beseitigt haben. (rei)