Microsoft heeft een zeer ernstig beveiligingslek in Hotmail gepatcht waardoor aanvallers wachtwoorden konden resetten en accounts overnemen, wat ook is gebeurd. Door de kwetsbaarheid in de functie om wachtwoorden te restten, kon een aanvaller het Hotmail/MSN wachtwoord van zijn eigen waarden voorzien. Het probleem speelde bij Microsoft's officiële MSN Hotmail (Live) service, aldus een artikel op WhiteC0de

De kwetsbaarheid werd eerst ontdekt door een Saoedische hacker, die lid van het dev-point.com forum is. De exploit om het lek te misbruiken belandde uiteindelijk op verschillende fora voor cybercriminelen en werd massaal gebruikt voor het hacken van Hotmail-accounts. Bij gebruikers die hun Hotmail-account ook aan financiële diensten als PayPal hadden gekoppeld, werd geld gestolen.

Firefox
Door het lek was het mogelijk om Hotmail's token-gebaseerde inlogbescherming te omzeilen. Deze maatregel controleert alleen of de invoerwaarden leeg zijn, voordat de websessie wordt gesloten. De hacker wist de beveiliging te omzeilen door een string karakters, in dit geval ‘+++)-.’ toe te voegen.

Het misbruiken van het lek werd vereenvoudigd door het gebruik van de Firefox uitbreiding Tamper Data, die gebruikers de uitgaande HTTP requests van de browser in real time laat aanpassen. Microsoft werd op 6 april ingelicht en verhielp het probleem op 21 april. Volgens WhiteC0de zou er mogelijk nog een ernstig lek in de gratis e-maildienst zitten, die slechts bij een paar hackers bekend is.