En las horas previas al amanecer de un lunes de agosto, se podía acceder a un buzón de Hotmail a través de una página web que parecía casi demasiado simple para ser peligrosa. Bastaba con introducir una dirección, pasar la pequeña cadena “eh”, y la cuenta podía abrirse en el navegador, con el correo privado a la vista como si el candado nunca hubiera existido.[1][2]
En 1999, hackers hicieron pública una falla de Hotmail que expuso millones de cuentas mediante un sencillo exploit en el navegador que implicaba “eh”. Microsoft negó que se tratara de una puerta trasera deliberada y luego lanzó correcciones a toda prisa después de que la brecha se hiciera pública.
Hotmail se había convertido en un premio digno de atacar. Microsoft había comprado el servicio de correo web en diciembre de 1997 por 450 millones de dólares, lo había integrado en MSN y, para el verano de 1999, atendía a decenas de millones de usuarios que podían consultar su correo desde casi cualquier computadora conectada.[1] CNN calculó el número de suscriptores en más de 40 millones; otras versiones lo situaban hasta en 50 millones.[4][5]
Los buzones expuestos no eran una amenaza hipotética. CNN informó de que varias direcciones web solo pedían un nombre de usuario de Hotmail. Una vez introducido el nombre, la cuenta aparecía, y en algunos casos los visitantes podían leer, reenviar o enviar mensajes bajo la identidad de esa persona.[4] Wired describió el exploit como unas pocas líneas de código HTML simple que usaban un script de inicio de sesión de Hotmail llamado “start”, junto con la contraseña “eh”.[2]
El diminuto código que abrió un servicio gigante
La brecha salió a la luz públicamente a través del periódico sueco Expressen, después de que los rumores circularan durante días.[5] Wired informó de que un grupo que se hacía llamar Hackers Unite se atribuyó la responsabilidad de difundir el agujero, aunque Wired no pudo confirmar las identidades detrás de la afirmación.[2]
Lasse Ljung, de Gotemburgo, que usaba el apodo en línea DarkWing, habló en nombre del grupo en Internet Relay Chat. Dijo que Hackers Unite incluía a un ciudadano sueco y siete estadounidenses, y presentó la brecha como una protesta contra la seguridad de Microsoft. “No hicimos este hackeo para destruir”, dijo a Wired, “queremos mostrarle al mundo lo mala que es realmente la seguridad de Microsoft”.[2]
Las herramientas públicas eran sorprendentemente pequeñas. The Guardian describió sitios web en Gran Bretaña y Suecia que contenían nueve líneas de código capaces de permitir que los navegadores saltaran el sistema de seguridad de Microsoft.[5] SmarterMSP resumió más tarde el truco en su forma más memorable: visitar una página que explotaba el script de inicio de sesión, escribir una dirección de Hotmail y la contraseña “eh”, y el buzón podía quedar accesible.[1]
Microsoft rechazó la idea de que sus ingenieros hubieran dejado una puerta trasera deliberada. Rob Bennett, director de marketing de MSN, dijo a Wired que “no había nada en esas acusaciones”, y describió la falla más bien como “un problema de seguridad desconocido”.[2] Richard Smith, especialista en seguridad informática y presidente de Phar Lap Software, dio a CNN un diagnóstico más directo: “Es simplemente un error en los servidores de Hotmail”.[3]
Otras explicaciones siguieron el mismo rastro tenue de URL y scripts. Jon Thompson, administrador de uno de los sitios que alojaba el exploit, dijo a MSNBC.com que sus asociados conocían la debilidad desde hacía unas ocho semanas y creían que el nuevo servicio de inicio de sesión Passport de Microsoft estaba implicado. Deanna Sanford, jefa de proyecto de Microsoft, afirmó que la falla no estaba relacionada con Passport, aunque no sabía cuánto tiempo llevaba existiendo.[2]
Otra pista apuntó a Michael Nobilio, un programador de Nueva Jersey que había escrito un atajo inofensivo en JavaScript para guardar su nombre de usuario de Hotmail como cookie. Nobilio dijo que su herramienta seguía requiriendo una contraseña. Smith creía que alguien pudo haber notado que una URL relacionada podía ser abusada para acceder a cuentas sin necesidad de ella.[3]
Una vez que la brecha se hizo pública, Microsoft actuó con rapidez. CNN informó de que Hotmail estuvo fuera de servicio durante aproximadamente una hora mientras la empresa respondía y añadía código para bloquear futuros ataques.[4] Wired informó de que Microsoft empezó a trabajar a las 2 a. m., hora del Pacífico, tenía una primera corrección lista a las 10 a. m. y solucionó una variante relacionada alrededor del mediodía, a medida que los cambios se propagaban por los servidores de Hotmail.[2] SmarterMSP resume la reparación como llegada en un plazo de dos horas una vez que se conoció el problema.[1]
Lo extraño era lo poco dramática que resultaba la clave en sí. En el borde del auge del correo web, uno de los mayores espacios privados de internet podía abrirse con dos letras minúsculas, colocadas en un campo del navegador: eh.
