Nem rég indult egy új webes e-mail szolgáltatás StrongWebmail néven, amely kétlépcsős autentikációval és korai figyelmeztetésekkel igyekszik garantálni felhasználó biztonságát. A vállalkozás 10.000$-t ajánlott fel annak, aki képes az ügyvezető igazgató (szintén a rnedszerben regisztrált) e-mail fiókját feltörni, pontosabban a fiókhoz tartozó naptárba egy találkozó időpontot felvenni.

Ehhez ráadásul az igazgató felhasználóneve és jelszava is rendelkezésre állt, a problémát (legalábbis a készítők szándékai szerint) egy SMS-ben kiküldött, egyszer használatos PIN kód megszerzése jelentette volna.

Aviv Raff, Lance James és Mike Bailey azonban kicsit más irányból közelítették meg a problémát, és kamu bázisállomások építése, vagy a GSM szolgáltató rendszerének komprommitálása helyett egyszerűen egy speciálisan "megfogalmazott", XSS sebezhetőséget kihasználó levelet küldtek a CEO-nak. Az igazgató nyilatkozata szerint a bejegyzés a levél megnyitása után létre is jött, tehát a kutatók elvileg jogosultak a díjra, bár hivatalos állásfoglalás ezzel kapcsolatban a cég részéről egyelőre nem érkezett.

XSS sebezhetőségekkel tele van a web, az ilyen problémák annyira gyakoriak, hogy őszintén szólva már én sem szívesen fogalalkozom velük. Ez az eset ugyanakkor jól példázza, hogy egy támadás erejét sokszor nem a kihasznált biztonsági hiba minősége, hanem sokkal inkább a támadó által kellő gonddal összeállított körítés határozza meg.