Nelle ore prima dell’alba di un lunedì di agosto, una casella Hotmail poteva essere raggiunta attraverso una pagina web dall’aspetto quasi troppo essenziale per sembrare pericolosa. Bastava inserire un indirizzo, passare la breve stringa “eh” e l’account poteva aprirsi nel browser, con la posta privata lì davanti, come se il lucchetto non fosse mai esistito.[1][2]
Nel 1999, alcuni hacker resero pubblica una falla di Hotmail che esponeva milioni di account tramite un semplice exploit via browser basato su “eh”. Microsoft negò che si trattasse di una backdoor deliberata, poi corse a distribuire le correzioni dopo che la violazione divenne pubblica.
Hotmail era diventato un bersaglio molto appetibile. Microsoft aveva acquistato il servizio di webmail nel dicembre 1997 per 450 milioni di dollari, lo aveva integrato in MSN e, nell’estate del 1999, serviva decine di milioni di utenti che potevano controllare la posta da quasi qualunque computer connesso.[1] CNN stimò gli abbonati a oltre 40 milioni; altre ricostruzioni arrivavano fino a 50 milioni.[4][5]
Le caselle esposte non erano un’ipotesi teorica. CNN riferì che diversi indirizzi web chiedevano soltanto un nome utente Hotmail. Una volta inserito il nome, l’account appariva, e in alcuni casi i visitatori potevano leggere, inoltrare o inviare messaggi usando l’identità di quella persona.[4] Wired descrisse l’exploit come poche righe di semplice codice HTML che utilizzavano uno script di accesso di Hotmail chiamato “start”, insieme alla password “eh”.[2]
Il minuscolo codice che aprì un servizio gigantesco
La violazione emerse pubblicamente attraverso il quotidiano svedese Expressen, dopo che le voci erano circolate per giorni.[5] Wired riferì che un gruppo chiamato Hackers Unite rivendicò la responsabilità di aver reso pubblica la falla, anche se la rivista non poté confermare le identità dietro quella dichiarazione.[2]
Lasse Ljung, di Göteborg, che online usava il soprannome DarkWing, parlò a nome del gruppo su Internet Relay Chat. Disse che Hackers Unite comprendeva un cittadino svedese e sette americani, e presentò la violazione come una protesta contro la sicurezza di Microsoft. “Non abbiamo fatto questo hack per distruggere,” disse a Wired, “vogliamo mostrare al mondo quanto sia davvero scarsa la sicurezza di Microsoft.”[2]
Gli strumenti resi pubblici erano sorprendentemente piccoli. The Guardian descrisse siti web in Gran Bretagna e Svezia che ospitavano nove righe di codice capaci di permettere ai browser di aggirare il sistema di sicurezza di Microsoft.[5] SmarterMSP in seguito riassunse il trucco nella sua forma più memorabile: visitare una pagina che sfruttava lo script di login, digitare un indirizzo Hotmail e la password “eh”, e la casella poteva essere raggiunta.[1]
Microsoft respinse l’idea che gli ingegneri avessero lasciato una backdoor intenzionale. Rob Bennett, direttore marketing di MSN, disse a Wired che non c’era “nulla di vero in queste accuse”, e descrisse invece la falla come “un problema di sicurezza sconosciuto”.[2] Richard Smith, specialista di sicurezza informatica e presidente di Phar Lap Software, diede a CNN una diagnosi più secca: “È semplicemente un bug nei server di Hotmail.”[3]
Altre spiegazioni seguirono la stessa fragile traccia fatta di URL e script. Jon Thompson, amministratore di uno dei siti che ospitavano l’exploit, disse a MSNBC.com che alcuni suoi collaboratori conoscevano la debolezza da circa otto settimane e ritenevano fosse coinvolto il nuovo servizio di accesso Passport di Microsoft. Deanna Sanford, project manager di Microsoft, disse che la falla non era collegata a Passport, anche se non sapeva da quanto tempo esistesse.[2]
Un altro indizio portava a Michael Nobilio, un programmatore del New Jersey che aveva scritto un innocuo collegamento rapido in JavaScript per salvare il proprio nome utente Hotmail come cookie. Nobilio disse che il suo strumento richiedeva comunque una password. Smith ritenne che qualcuno potesse aver notato che un URL collegato poteva essere sfruttato per accedere agli account senza inserirne una.[3]
Una volta che la violazione divenne pubblica, Microsoft si mosse rapidamente. CNN riferì che Hotmail fu messo offline per circa un’ora mentre l’azienda rispondeva all’incidente e aggiungeva codice per bloccare attacchi futuri.[4] Wired riportò che Microsoft iniziò a lavorare alle 2 del mattino, ora del Pacifico, mise in funzione una prima correzione entro le 10 e sistemò una variante correlata intorno a mezzogiorno, mentre le modifiche si propagavano sui server di Hotmail.[2] SmarterMSP riassume la riparazione come arrivata entro due ore da quando il problema fu conosciuto.[1]
La parte più strana era quanto poco drammatica fosse la chiave stessa. Ai margini del boom della webmail, uno dei più grandi spazi privati di internet poteva essere fatto aprire con due lettere minuscole, ferme in un campo del browser: eh.
