Nas horas que antecederam o amanhecer de uma segunda-feira de agosto, uma caixa de entrada do Hotmail podia ser acessada por meio de uma página da web que parecia simples demais para ser perigosa. Bastava inserir um endereço, enviar a pequena sequência “eh”, e a conta podia se abrir no navegador, com mensagens privadas ali à vista, como se a fechadura nunca tivesse existido.[1][2]
Em 1999, hackers divulgaram uma falha no Hotmail que expôs milhões de contas por meio de um exploit simples no navegador envolvendo “eh”. A Microsoft negou que se tratasse de uma backdoor deliberada e, depois que a invasão se tornou pública, correu para lançar correções.
O Hotmail havia se tornado um alvo valioso. A Microsoft comprara o serviço de webmail em dezembro de 1997 por US$ 450 milhões, incorporou-o ao MSN e, no verão de 1999, atendia dezenas de milhões de usuários que podiam checar e-mails de praticamente qualquer computador conectado.[1] A CNN estimou o número de assinantes em mais de 40 milhões; outros relatos colocavam esse total em até 50 milhões.[4][5]
As caixas de e-mail expostas não eram apenas uma possibilidade teórica. A CNN informou que vários endereços da web pediam apenas um nome de usuário do Hotmail. Depois que o nome era inserido, a conta aparecia e, em alguns casos, visitantes podiam ler, encaminhar ou enviar mensagens usando a identidade daquela pessoa.[4] A Wired descreveu o exploit como algumas linhas de código HTML simples que usavam um script de login do Hotmail chamado “start”, junto com a senha “eh”.[2]
O código minúsculo que abriu um serviço gigante
A violação veio a público por meio do jornal sueco Expressen, depois de rumores circularem por vários dias.[5] A Wired informou que um grupo que se autodenominava Hackers Unite assumiu a responsabilidade por divulgar a brecha, embora a revista não tenha conseguido confirmar as identidades por trás da reivindicação.[2]
Lasse Ljung, de Gotemburgo, que usava o apelido online DarkWing, falou em nome do grupo no Internet Relay Chat. Ele disse que o Hackers Unite incluía um cidadão sueco e sete americanos, e apresentou a invasão como um protesto contra a segurança da Microsoft. “Não fizemos esse hack para destruir”, disse ele à Wired, “queremos mostrar ao mundo como a segurança da Microsoft realmente é ruim.”[2]
As ferramentas públicas eram surpreendentemente pequenas. The Guardian descreveu sites na Grã-Bretanha e na Suécia que exibiam nove linhas de código capazes de permitir que navegadores contornassem o sistema de segurança da Microsoft.[5] Mais tarde, o SmarterMSP resumiu o truque em sua forma mais memorável: acessar uma página que explorava o script de login, digitar um endereço do Hotmail e a senha “eh”, e a caixa de entrada podia ser alcançada.[1]
A Microsoft rejeitou a ideia de que engenheiros tivessem deixado uma backdoor deliberada. Rob Bennett, diretor de marketing do MSN, disse à Wired que não havia “nada nessas alegações” e descreveu a falha, em vez disso, como “um problema de segurança desconhecido”.[2] Richard Smith, especialista em segurança da computação e presidente da Phar Lap Software, deu à CNN um diagnóstico mais direto: “É simplesmente um bug nos servidores do Hotmail.”[3]
Outras explicações seguiram o mesmo rastro estreito de URLs e scripts. Jon Thompson, administrador de um dos sites que hospedavam o exploit, disse ao MSNBC.com que associados conheciam a fraqueza havia cerca de oito semanas e acreditavam que o novo serviço de login Passport, da Microsoft, estava envolvido. A gerente de projeto da Microsoft Deanna Sanford disse que a falha não tinha relação com o Passport, embora não soubesse há quanto tempo ela existia.[2]
Outra pista apontava para Michael Nobilio, um programador de Nova Jersey que havia escrito um atalho inofensivo em JavaScript para salvar seu nome de usuário do Hotmail como um cookie. Nobilio disse que sua ferramenta ainda exigia uma senha. Smith acreditava que alguém talvez tivesse percebido que uma URL relacionada podia ser explorada para acessar contas sem senha.[3]
Assim que a violação se tornou pública, a Microsoft agiu rapidamente. A CNN informou que o Hotmail ficou fora do ar por cerca de uma hora enquanto a empresa respondia ao problema e adicionava código para bloquear ataques futuros.[4] A Wired relatou que a Microsoft começou a trabalhar às 2h da manhã, horário do Pacífico, tinha uma correção inicial pronta às 10h e corrigiu uma variante relacionada por volta do meio-dia, à medida que as mudanças se espalhavam pelos servidores do Hotmail.[2] O SmarterMSP resume o reparo como tendo chegado em até duas horas depois que o problema foi conhecido.[1]
O mais estranho era o quão pouco dramática parecia a própria chave. No auge inicial do webmail, um dos maiores espaços privados da internet podia ser aberto com duas letras minúsculas, paradas em um campo do navegador: eh.
