Beveiligingsonderzoeker Laxman Muthiyah kon elk willekeurig Microsoft-account waar geen tweefactorauthenticatie (2FA) voor was ingeschakeld overnemen, zo laat hij in een analyse weten. De onderzoeker waarschuwde Microsoft eind vorig jaar, waarna het probleem werd verholpen. Voor zijn bugmelding ontving Muthiyah een beloning van 50.000 dollar van het techbedrijf.

Eigenaren van een Microsoft-account die hun wachtwoord zijn vergeten kunnen een wachtwoordreset uitvoeren. Gebruikers moeten hiervoor hun e-mailadres of telefoonnummer opgeven, waarna Microsoft hier een zevencijferige beveiligingscode naar toe stuurt. Met deze code kan een nieuw wachtwoord worden ingevoerd.

Aangezien de code uit zeven cijfers bestaat zijn er in totaal tien miljoen mogelijke combinaties. Microsoft past "rate limiting" toe om bruteforce-aanvallen te voorkomen. Muthiyah ontdekte dat deze beveiliging is te omzeilen als alle codes precies op hetzelfde moment bij de server aankomen. Ter demonstratie verstuurde hij duizend zevencijferige codes waarmee hij de wachtwoordreset van het testaccount kon uitvoeren.

De aanval werkt niet wanneer een gebruiker tweefactorauthenticatie heeft ingeschakeld. Gebruikers die deze beveiligingsmaatregel hebben ingesteld moeten voor een wachtwoordreset eerst een zescijferige code invoeren die via de authenticator-app is gegenereerd, waarna pas de zevencijferige code moet worden ingevoerd. Muthiyah rapporteerde het probleem afgelopen november aan Microsoft, waarna er snel een patch werd uitgerold. Microsoft beloonde de onderzoeker voor zijn bugmelding met 50.000 dollar. Details van de kwetsbaarheid zijn nu bekendgemaakt.