Im Zentrum von Arnotts Vortrag steht eine grundlegende Vertrauenslücke: Connective verifizierte nicht, von welcher Website Anfragen an die lokal laufende Anwendung stammten. Nach Darstellung des Forschers konnte deshalb praktisch jede Website oder auch eine eingebettete Werbeanzeige mit der Software auf dem Rechner eines Opfers sprechen. Damit ließ sich laut Arnott unbemerkt auf angeschlossene elektronische Ausweise und Zahlungskartendaten zugreifen.
Besonders kritisch war nach seinen Angaben die Behandlung der PIN-Eingabe. Eine bösartige Website konnte demnach offiziell wirkende Authentifizierungsfenster einblenden und Nutzer so zur Eingabe ihrer eID-PIN bewegen. Weil Webseiten den Text in diesen Dialogen anpassen konnten, ohne dass die anfragende Domain angezeigt wurde, hatten Nutzer laut Arnott keine Möglichkeit zu erkennen, ob die Aufforderung legitim war oder einen Phishing-Versuch darstellte.
Wurde die PIN eingegeben, übermittelte die Anwendung sie an die anfragende Webseite zurück. Ein Angreifer konnte diese PIN anschließend verwenden, um unautorisierte Freigabetoken zu erzeugen und rechtlich bindende elektronische Signaturen zu fälschen, sofern die physische eID-Karte des Opfers in einem Kartenleser steckte. Arnott zufolge traf das den Vertrauensanker des belgischen digitalen Ökosystems insgesamt, einschließlich staatlicher Portale wie CSAM.be und externer Identitätsanbieter wie Itsme.
Der Bericht betont zugleich, dass diese Dienstanbieter selbst keine eigenen Schwachstellen enthielten. Das Problem entstand durch ihre Abhängigkeit von eID-Signaturen: Wer sich unrechtmäßig Signaturfähigkeiten verschaffen konnte, konnte damit digitale Identitätskonten registrieren oder übernehmen.
Zusätzlich fand Arnott eine Schwachstelle zur Remotecodeausführung, die unabhängig davon funktionierte, ob überhaupt eine eID-Karte eingesteckt war. Ausgenutzt wurde demnach ein Fehler bei der Verarbeitung lokaler Dateien durch die Anwendung. Eine bösartige Website konnte Connective so dazu bringen, auf Nutzerebene vom Angreifer kontrollierten Code auszuführen.
Für diesen sogenannten Drive-by-Angriff musste ein Nutzer laut Beschreibung lediglich dazu gebracht werden, eine als normales Dokument getarnte Datei herunterzuladen und anschließend eine Webseite zu besuchen. Besondere Berechtigungen waren dafür nicht erforderlich. Arnott wies außerdem auf das Risiko hin, dass sich die Lücke wie ein sich selbst verbreitender Wurm ausbreiten könnte, indem Benutzerzugänge zum Versand schädlicher Links an weitere potenzielle Opfer missbraucht werden.
Nitro hat die Schwachstellen nach Angaben des Quelltexts 146 Tage nach der ersten Meldung vollständig behoben und eine Prämie von 200 US-Dollar gezahlt. Das Unternehmen spielte Updates ein, um unautorisierte Herkunftsanfragen zu blockieren und die PIN-Behandlung abzusichern; die endgültige technische Durchsetzung wurde Ende Juli abgeschlossen. SecurityWeek zufolge wurden offenbar keine CVE-Nummern vergeben. Auf eine Anfrage von SecurityWeek nach einer Stellungnahme reagierte Nitro nicht. Arnott veröffentlichte seine Erkenntnisse auf der DEF CON und in einem Blogeintrag mit zusätzlichen technischen Details.