Microsoft verhindert reset Skype-wachtwoord

De kwetsbaarheid in de wachtwoordroutine doet zich voor doordat de Skype-website gebruikers de mogelijkheid biedt verschillende accounts te maken op een enkel e-mailadres. Hoeveel gebruikers het slachtoffer zijn geworden van de hack, hebben Skype en Microsoft niet gemeld.

Redactie AG ConnectMeer van deze auteur

De hack komt op een slecht moment voor Microsoft, die juist zijn klanten voor Live Messenger wil bewegen over te stappen op Skype om de Live Messenger dienstverlening daarna te beëindigen.

Bug al maanden geleden ontdekt

De kwetsbaarheid in Skype werd twee maanden geleden al opgemerkt op een Russische hackerssite (link wijst naar Google Translate van de site), maar werd dinsdagavond nog eens herhaald. Skype stelt een hacker in staat een nieuw account aan te maken op een e-mailadres waarop een account bij Skype bestaat. Na inloggen kon de hacker tot gisterenavond een 'password reset' aanvragen. De website stuurde vervolgens een e-mail met een password reset-link naar het bijbehorende e-mailaccount.

Op het Home-scherm van de Skype-client verscheen echter ook een 'Password token'-melding. Door op de knop voor meer informatie te klikken, kreeg de hacker ook toegang tot de password reset-link en een token dat nodig is om de reset uit te voeren. Door deze link te gebruiken kreeg de hacker vervolgens de mogelijkheid het wachtwoord van het nieuwe, maar ook van het originele account te veranderen en had hij controle over de beide accounts.

Skype zegt dat het blokkeren van de mogelijkheid het wachtwoord te veranderen een noodmaatregel is, die duurt zolang gezocht wordt naar een definitieve oplossing van het probleem.