Webmailbeveiliging eenvoudig te kraken

Gertjan (Kozzmic)
Scootmobiel had ons via de nieuws-submit te melden:

Bij zeker tien internetaanbieders was het mogelijk om andermans webmail te lezen. Dat blijkt uit een onderzoek van beveiligingsdeskundige Martijn Brinkers. Brinkers kwam een paar maanden geleden in het nieuws omdat hij een lek had ontdekt in de webmail van Yahoo. Nu blijkt dat ook Nederlandse aanbieders als Chello, Planet en Zonnet een ernstig beveiligingsprobleem hebben.

Door een speciaal geprepareerde e-mail naar een webmailgebruiker te sturen bleek het bij vijf providers mogelijk binnenkomende mail te laten forwarden naar een ander adres. In sommige gevallen kon het wachtwoord van de gebruiker achterhaald worden. Bij drie internetaanbieders kon zelfs zonder al teveel moeite de mailbox van de webmailgebruiker compleet overgenomen worden.

Ook na een waarschuwing van Brinkers bleek dat de meeste providers nog onvoldoende voorzorgsmaatregelen hebben genomen om misbruik tegen te gaan. Lycos en Ilse waren de enige aanbieders die de oorspronkelijke exploit tegen wisten te gaan, al is ook hun oplossing volgens Brinkers niet perfect. Bij Tiscali, 12Move en Raketnet bleek de truc van Brinkers nog gewoon te werken. Andere providers hadden weliswaar de beveiliging aangepast, maar ook deze bleek simpel te omzeilen.