Hack e-mail Palin wijst op kwetsbaarheid webdiensten

De hackers die de e-mail van de Republikeinse vicepresidentskandidate Sarah Palin kraakten, maakten daarbij gebruik van informatie die gemakkelijk online was te vinden.

Dat meldde een van de inbrekers in een bericht dat korte tijd te lezen viel op hackersforum 4chan, maar inmiddels is verwijderd, zo bericht onder meer Wired.

Donderdag werd bekend dat hackers zich toegang hadden verschaft tot de persoonlijke mailbox van Sarah Palin bij Yahoo. Ze publiceerden details over de mail via Wikileaks, een website die gestolen en uitgelekte informatie op internet verspreidt.

De onderschepte e-mails van Palin zouden politiek gevoelig kunnen blijken: tegen Palin loopt in de staat Alaska, waarvan zij gouverneur is, een onderzoek naar mogelijk machtsmisbruik. In dat kader is Palin opgedragen haar e-mailcorrespondentie beschikbaar te stellen, maar de Amerikaanse wet maakt een uitzondering voor privémail.

Naar verluidt zou Palin veel mogelijk compromitterende e-mailtjes bewust via haar persoonlijke account hebben verzonden, om openbaarmaking te voorkomen. Dergelijke e-mails zijn overigens nog niet opgedoken.

De hack was heel simpel, legt 'Rubico' uit. De daders maakten gebruik van een functie waarmee gebruikers een nieuw wachtwoord kunnen aanvragen als ze het oude vergeten zijn. Yahoo controleert daarbij de identiteit van de gebruiker aan de hand van diens postcode en geboortedatum, en het antwoord op een 'geheime vraag'.

In het geval van Palin was die informatie gemakkelijk te achterhalen via websites als Wikipedia. Ook de geheime vraag ("Waar heb je je partner ontmoet?") werd zo snel beantwoord: Palin is getrouwd met haar schoolvriendje Todd, die ze leerde kennen op Wasilla High. Eenmaal binnen konden de inbrekers het wachtwoord van Palin wijzigen.

Volgens Bright.nl toont de kraak de kwetsbaarheid aan van veel webdiensten aan. In veel gevallen zijn de controlevragen bij wachtwoordherstel zeker voor bekenden eenvoudig te beantwoorden. Bovendien geven webmailaccounts op hun beurt vaak toegang tot andere online diensten van de gebruiker, als die het webmailadres heeft gebruikt bij zijn registratie.