8月のある月曜日、夜明け前の時間帯。危険とは思えないほどそっけない見た目のウェブページから、Hotmailのメールボックスに到達できてしまった。メールアドレスを入力し、小さな文字列「eh」を渡すだけで、ブラウザ上にそのアカウントが開き、まるで最初から鍵など存在しなかったかのように私的なメールがそこに並んだ。[1][2]

1999年、ハッカーたちは「eh」を使った単純なブラウザ上の仕組みによって、数百万件のHotmailアカウントが露出する欠陥を公表した。Microsoftはそれが意図的なバックドアであることを否定し、問題が公になった後、急いで修正を施した。

Hotmailは、攻撃する価値のある標的になっていた。Microsoftは1997年12月にこのウェブメールサービスを4億5000万ドルで買収し、MSNに組み込んだ。そして1999年夏までには、インターネットにつながったほぼどんなコンピューターからでもメールを確認できるサービスとして、数千万人の利用者を抱えていた。[1] CNNは加入者数を4000万人超と報じ、別の報道では5000万人に達していたともされた。[4][5]

露出したメールボックスは、単なる机上の話ではなかった。CNNによると、いくつかのウェブアドレスではHotmailのユーザー名だけを求められた。名前を入力するとアカウントが表示され、訪問者は場合によっては、その人物になりすましてメールを読んだり、転送したり、送信したりできたという。[4] Wiredは、この攻撃を、Hotmailの「start」と呼ばれるログインスクリプトとパスワード「eh」を使った、数行の単純なHTMLコードだと説明した。[2]

巨大サービスを開いてしまった小さなコード

この侵害は、数日間うわさが広まった後、スウェーデンの新聞Expressenを通じて公に明るみに出た。[5] Wiredによれば、Hackers Uniteを名乗るグループがこの穴を公表したと主張したが、Wiredはその主張の背後にいる人物たちの身元を確認できなかった。[2]

オンライン上でDarkWingというニックネームを使っていたヨーテボリ在住のLasse Ljungは、Internet Relay Chat上でそのグループの代弁者として語った。彼によると、Hackers Uniteはスウェーデン人1人とアメリカ人7人で構成されており、この侵害はMicrosoftのセキュリティに対する抗議だったという。「私たちは破壊するためにこのハックをしたのではありません」と彼はWiredに語った。「Microsoftのセキュリティが実際にはどれほどひどいものかを、世界に示したいのです。」[2]

公開されたツールは、驚くほど小さなものだった。The Guardianは、イギリスとスウェーデンのウェブサイトに、ブラウザがMicrosoftのセキュリティシステムを回避できる9行のコードが掲載されていたと報じた。[5] SmarterMSPは後に、この手口を最も印象的な形で要約している。ログインスクリプトを悪用するページにアクセスし、Hotmailアドレスとパスワード「eh」を入力すると、メールボックスに到達できた、というものだ。[1]

Microsoftは、技術者が意図的なバックドアを残していたという見方を否定した。MSNのマーケティングディレクターだったRob BennettはWiredに対し、そうした「主張には何の根拠もない」と述べ、この欠陥を「未知のセキュリティ問題」だと説明した。[2] コンピューターセキュリティの専門家でPhar Lap Software社長のRichard Smithは、CNNにより率直な診断を示した。「Hotmailサーバー上の単なるバグです。」[3]

ほかの説明も、URLとスクリプトという細い手がかりをたどるものだった。この攻撃コードを掲載したサイトの管理者Jon ThompsonはMSNBC.comに対し、仲間たちは約8週間前からこの弱点を知っており、Microsoftの新しいサインインサービスPassportが関係していると考えていたと語った。MicrosoftのプロジェクトマネージャーDeanna Sanfordは、この欠陥はPassportとは関係ないと述べたが、いつから存在していたのかは分からないとした。[2]

別の手がかりは、ニュージャージー州のプログラマーMichael Nobilioに向かった。彼はHotmailのユーザー名をCookieとして保存するための、無害なJavaScriptのショートカットを書いていた。Nobilioは、自分のツールにはなおパスワードが必要だったと述べた。Smithは、誰かが関連するURLを悪用すれば、パスワードなしでアカウントに到達できることに気づいたのかもしれないと考えた。[3]

侵害が公になると、Microsoftは素早く動いた。CNNによれば、同社が対応し、将来の攻撃を防ぐコードを追加する間、Hotmailは約1時間停止したという。[4] Wiredは、Microsoftが太平洋時間の午前2時に作業を開始し、午前10時までに最初の修正を適用、さらに正午ごろにはHotmailサーバー全体に変更を広げながら関連する別の手口も修正したと報じた。[2] SmarterMSPは、問題が把握されてから2時間以内に修正が行われたとまとめている。[1]

奇妙なのは、その鍵そのものにはほとんどドラマがなかったことだ。ウェブメールが爆発的に広がりつつあった時代の端で、インターネット上でも最大級の私的空間のひとつが、ブラウザの入力欄に置かれた小文字2文字で開いてしまった。eh。

出典

  1. SmarterMSP, “Tech Time Warp: Quite the Hotmail hack, eh?”
  2. Wired, “Hotmail Hackers: ‘We Did It’”
  3. CNN, “Expert: Hotmail hole likely started in Sweden”
  4. CNN, “Hotmail security hole opened door to millions of e-mail accounts”
  5. The Guardian, “Hackers in biggest internet security breach”