Intrusione in Yahoo!Mail passando dall'IM

La soluzione dell’ennesima falla di sicurezza (nel caso specifico coinvolgente Yahoo) suggerisce cose sempre più gravi sullo stato della sicurezza per il web e le nuove tipologie di attacco informatico che vengono perpetrate.

Il problema che ora è stato risolto riguardava la nota mail di Yahoo accessibile da browser. La questione era tutta relativa al modo con il quale la webmail interagisce con una certa versione del suo instant messenger: a segnalare la cosa è stata la società di sicurezza Cenzic, secondo la quale trattasi di una vulnerabilità di tipo cross scripting.

La falla scattava qualora un qualsiasi male intenzionato, usando la versione in questione dell’IM, iniziasse una sessione di chat con una vittima la quale esegue l’instant messenger attraverso la finestra che si apre nella schermata di webmail. A quel punto manipolando la finestra di status era possibile inviare un script maligno che sarebbe stato eseguito nella parte client del servizio di mail di Yahoo rivelando al possibile truffatore la session ID della vittima, cosa che consente l’accesso libero alla casella nonchè ai contatti dell’IM.

Ad ogni modo la portavoce di Yahoo Kelley Podboy tranquillizza l’utenza spiegando a NetworkWorld: «per quanto ne sappiamo la vulnerabilità non è stata sfruttata e nessun utente ne è rimasto danneggiato. Yahoo ci tiene molto alla sicurezza dei propri utenti e continua a sforzarsi di combattere le potenziali minacce».