Onlangs werd bekend dat een hacker toegang wist te krijgen tot de mailboxen van tientallen Europarlementariërs, maar de aanval heeft niet via een beveiligingslek in Microsofts Exchange ActiveSync plaatsgevonden, zo laat de softwaregigant weten.

De hacker wilde met zijn actie de slechte beveiliging van de systemen in Straatsburg aantonen. Vanwege de aanval kregen alle Europarlementsleden en hun medewerkers een e-mail van de IT-afdeling van het Europees Parlement in Brussel met het verzoek om alle wachtwoorden te wijzigen.

Lek

Hoewel de details van de aanval nog worden onderzocht, laat Microsoft in een reactie weten dat er geen gebruik is gemaakt van een beveiligingslek in Exchange ActiveSync. "Gebaseerd op onze initiële informatie hebben we vastgesteld dat het niet om een kwetsbaarheid in het ActiveSync-protocol gaat; het probleem is hoe apparaten van derde partijen certificaten authenticeren", aldus Matt Thomlinson van Microsofts Trustworthy Computing Security.

De aanvalsvector is volgens Thomlinson niet nieuw en al eerder tijdens de Black Hat 2012 conferentie besproken. Nieuwere versies van Windows Phone zouden de aanval al standaard blokkeren. "Microsofts implementatie van Exchange ActiveSync op Windows Phone beschermt klanten regelmatig tegen dit type aanval, aangezien het niet toestaat dat kwaadaardige certificaten door het apparaat worden vertrouwd."

Verantwoordelijkheid

Aangezien third party softwareontwikkelaars Exchange ActiveSync van Microsoft kunnen licenseren en aanpassen, zodat hun gebruikers e-mail op elk willekeurig apparaat kunnen ontvangen, zijn zij volgens Microsoft ook verantwoordelijk voor een veilige implementatie van het Exchange ActiveSync-protocol. Eindgebruikers die zich tegen dit soort aanvallen willen beschermen krijgen van Thomlinson in dit artikel verschillende tips.