Microsoftは4月27日、Windows Live Hotmailのパスワード再設定に関する深刻な脆弱性を修正したことを発表した。この脆弱性を利用したとみられる攻撃によりHotmailアカウントがハックされ、スパムの送信に使われたといった報告が4月に入ってから相次いでいた(Microsoft Security Responceチームのツイート、 Ars Technicaの記事、 BBC Newsの記事、 本家/.)。

Hotmailのパスワード再設定機能では、登録した電子メールアドレスあてにトークンを含むリンクが送信される。しかし、トークンが正しく検証されていなかったため、任意のHotmail/MSNアカウントのパスワードを攻撃者が変更できる状態となっていた。この脆弱性をVulnerbility Labが発見したのは4月6日。20日に報告を受けたMicrosoftはすぐに修正を行ったとのことだが、すでに多くのアカウントが攻撃を受けた後だったという。

今回の修正に伴ってHotmailユーザーは特別な操作をする必要はないが、攻撃を受けたアカウントではパスワードの再設定が必要だ。ただし、再設定に必要な情報を攻撃者が変更している場合、回復が困難な状態になっている可能性もある。なお、アカウントが攻撃された形跡があっても以前のパスワードでログインできる場合(/.J記事)、別の方法で攻撃されたものとみられる。