Een bug in de Enigmail OpenPGP-extensie voor Mozilla Thunderbird zorgde ervoor dat een versleutelde e-mail waarbij de ontvanger als BCC was ingesteld niet werd versleuteld. Een e-mail met alleen een BCC-ontvanger of ontvangers werd onversleuteld verstuurd, zo laat ontwikkelaar Nicolai Josuttis weten.

Het probleem speelde in Enigmail versie 1.7 en is in versie 1.7.2 verholpen. Een aanvaller die het netwerkverkeer kon afluisteren kon zo de inhoud van de e-mails onderscheppen en lezen, terwijl de afzender ervan uitging dat het bericht was versleuteld, zo stelt het Computer Incident Repsonse Center Luxembourg (CIRCL). Enigmail is een add-on waarmee Thunderbird-gebruikers hun e-mails kunnen versleutelen.

Gebruikers op het Enigmail-forum zijn niet over de beveiligingsmisser te spreken. "Het is niet te geloven dat er nog geen officiële bevestiging van dit probleem is", aldus een gebruiker vorige maand. "Het is moeilijk een nog ergere beveiligingsblunder voor te stellen, tenzij Enigmail stilletjes mijn geheime sleutels met de uitgaande mail meestuurt."

Een andere gebruiker stelt dat het maar goed is dat hij een computerwetenschapper is. "Als serieuze gebruiker, dissident, klokkenluider, diplomaat of militaire gebruiker, zou ik nu op de bad guys wachten die me komen waterboarden." Enigmail 1.7.2 is sinds 29 augustus te downloaden.