Hotelliperijätär Paris Hiltonin T-Mobile Sidekick -tiliin murtauduttiin taannoin ja hänen puhelimensa tiedot karkasivat nettiin. Hiltonin puhelimesta pääsi julkisuuteen muun muassa julkkisten puhelinnumeroita, Hiltonin sähköposteja ja kamerakännykällä otettuja valokuvia. Nyt epäillään, että tietoihin olisi päästy käsiksi T-Mobilen verkkosivun haavoittuvuuden kautta.
Aikaisemmin luultiin, että krakkerit olisivat päässeet käsiksi Hiltonin tietoihin arvaamalla tämän lemmikkieläimen nimen ja sitä kautta saamaan tämän salasanan haltuunsa. Nyt näyttää siltä, että tietojen hankkimiseksi on tarvittu krakkerointia.
T-Mobilen verkkosivuilla tilinhaltija voi asettaa oman salasanansa. InfoWorldin haastatteleman tietoturva-asiantuntijan mukaan toiminnossa on vika, ja T-Mobilen sivuilta löytyy satoja, ellei jopa tuhansia samanlaisia aukkoja, joita hyväksikäyttämällä krakkerit voivat päästä käsiksi luottamuksellisiin tietoihin.
InfoSec-instituutin tietoturva-asiantuntija Jack Koziolin mukaan kyseessä on sessionhallintaongelma. Salasanan asettamistoiminnon suunnitteluvirheen vuoksi hyökkääjä voi ohittaa tunnistuksen eikä hänen tarvitse todistaa olevansa tilin omistaja. Tämän jälkeen hän voi muuttaa tilin salasanan haluamakseen.
T-Mobilesta ei kommentoitu tietoturva-aukkoihin liittyviä eikä muutenkaan yhtiön verkkosivujen tietoturvaan liittyviä kysymyksiä.
