Uma falha de segurança séria no serviço de email Hotmail da Microsoft foi descoberta no começo do mês e bastante explorada na semana passada. Ela permitia que uma pessoa com conhecimento da falha trocasse a senha de uma conta do Hotmail sem precisar sequer da senha original ou mesmo de responder as conhecidas perguntas de confirmação. Bastava uma extensão do Firefox e a vontade de violar a segurança de qualquer conta.

O jeito como essa vulnerabilidade era explorada era bem interessante. Ao colocar um endereço de email do Hotmail na página de login e clicar em “Esqueci minha senha”, o usuário recebe algumas opções para ganhar novamente o acesso à conta. Se ele escolher a alternativa “Envie-me um link de redefinição por email”, a página em questão fazia uma requisição HTTP com o que seria o email alternativo da conta em questão, para que o link fosse enviado a este endereço. Essa requisição HTTP, no entanto, poderia ser alterada com o Tamper Data (uma extensão do Firefox justamente com o fim de modificar dados de uma requisição HTTP) para enviar o link de redefinição de senha para outro email.

Veja um vídeo de demonstração da vulnerabilidade logo abaixo.

http://www.youtube.com/watch?v=OnP4VTXdOXw
(Vídeo no YouTube)

Dessa forma uma pessoa podia enviar o link para o seu próprio e-mail, redefinir a senha de uma conta qualquer e ganhar acesso a ela de forma bem simples. E se ela estivesse atrelada a outras contas de redes sociais, como Twitter e Facebook, essas contas também acabavam comprometidas. Como aponta o site Whitec0de.com, a vulnerabilidade já foi corrigida pela Microsoft, mas basta buscar por ” ثغرة الهوتميل 2012 ” no YouTube para ver diversos outros vídeos dela sendo explorada.

A descoberta da vulnerabilidade foi feita por um hacker árabe e eu imagino que devido à diferença dos idiomas tenha contribuído para impedir que ela se espalhasse muito. Mas um outro hacker acabou publicando essa vulnerabilidade em um fórum conhecido (e cobrando 20 dólares para roubar contas) e ela acabou sendo vastamente explorada. O site Microsoft Answers contém uma série de pessoas que foram atacadas e tiveram suas contas alteradas para o idioma árabe.

Nós entramos em contato com a Microsoft pedindo uma posição oficial da empresa sobre a vulnerabilidade, mas até o momento de publicação desse post não houve reposta.

Dica do meu amigo @khaled via Twitter. شكرا لك! (Obrigado!)

Comentários

Envie uma pergunta

Os mais notáveis

Comentários com a maior pontuação

MARCEL RUIZ
Timmy Eliot Sand

███۞███████

karina
agora como vai se trocar a senha do hotmail
Cloud
Eu não sou um usuário que pode ser chamado de leigo... mas tive a conta do hotmail roubada há 10 meses atrás...não duvido que essa falha seja bem antiga....e que tenha sido com ela que eu tenha sido "furtado".
Luandersonn
Pois é, não pode dar sopa, infelzimente espertinho é o que não falta.
Tiago Gabriel
é dei mancada, mas enfim temos que reconhecer os erros, realmente é assim como você diz, inclusive meu sobrinho se ferrou por causa disso.
Luandersonn
Não, se existe um email, não é possivel criar outro igual, é que as pessoas "invetam email" para o Orkut, quando alguem tem sorte que o email não existe, vão lá, e pau!
Tiago Gabriel
Realmente, se tratando de informatica temos que ter em mente que ninguém está totalmente seguro, independente da empresa.
Tiago Gabriel
você está certo, mas em muitas dessas contas os e-mails existem sim, só que no hotmail as vezes é possível criar um e-mail igual ao de alguém (os chamados não confirmados) e usa-lo para sacanear com o orkut.
Loja iNotebooks
Essa Vulnerabilidade é seria. em 1998 tinha essa mesma Vulnerabilidade mas você colocava o e-mail na própria pagina do Hotmail no Explorer.
Cláudio Hilário
Se a noticia já se propagou, certamente a Hotmail já tratou do assunto, no entanto tanto o GMAIL como a Hotmail, tem os seus Prós & Contras
Kessler
Como alguém consegue ser fã de Hotmail? Eu ADORO os produtos da Microsoft, mas Hotmail é um treco que não me desce.
Luandersonn
Porque o Gmail é junto com o Orkut numa só conta, não dá para criar uma conta no Orkut colocando o email do Gmail (que não seja integrado a conta), as pessoas criam Orkut "TiagoGabriel.gostosã[email protected]" sem nem existir o email, ai é sacanagem. Ai a Vulnerabilidade é do Google mesmo
Luandersonn
Seja qual for o email, uma pessoa que briga pelo Gmail ou Yahoo!Mail não merece o chão que pisa.
Tiago Gabriel
Hotmail sempre foi vulnerável, a pivetada aqui do bairro brinca e não é de hoje, de haquear orkut com hotmail e yahoo.
Exibir mais comentários