zugangsdaten veröffentlicht

[jutta]

ich bin heute in einem artikel über eine der größeren datenpannen der letzteren monate (die daten von millionen registrieren kunden einer nordamerikanischen datingsite wurden zunächst gestohlen und gestern veröffentlicht) auf den link einer seite gestoßen, auf der angeblich funktionierende username / password kombinationen für diverse onlineforen usw. angegeben werden.

auf gut glück gab ich xDSL.at ein und erhielt tatsächlich ein resultat. die zugangsdaten haben funktioniert! ich habe das account jetzt natürlich inaktiv gestellt und bitte den betreffenden user, sich mit mir in verbindung zu setzten, wenn er unter diesem nick wieder posten will. er soll sich bitte überlegen, wie er mir gegenüber glaubhaft machen kann, dass er der berechtigte inhaber des nicks ist und er soll bitte auch nachdenken, wie seine daten bei bugmenot gelandet sind.

die website ist http://bugmenot.com admins von foren, blogs und anderen online-services, für die man zugangsdaten braucht usw. sollten vielleicht gelegentlich dort reinschauen, zumindest, wenn sich "merkwürdige" postings häufen.

die geschichte über den data-breach
http://krebsonsecurity.com/2015/07/onli ... on-hacked/
http://krebsonsecurity.com/2015/08/was- ... se-leaked/

googeln nach "ashley madison" bringt viele treffer über den hackerangriff und die veröffentlichung der daten.

[pc_net]

Lt. Wikipedia:
BugMeNot (frei übersetzt: NervMichNicht) ist ein Online-Dienst, der kostenlos Benutzernamen und Passwörter für registrierungspflichtige Websiteinhalte anbietet, ohne dass sich der Benutzer registrieren muss.

https://de.wikipedia.org/wiki/BugMeNot


der betreffende Account wurde also von irgendwem angelegt (ev. sogar einem bot) und dort für andere user geshared ... IMHO sollte so ein account also sowieso gesperrt bleiben ...

[lordpeng]

also ich nutze bugmenot schon seit längerem und auch desöfteren um irgendwelche evaluierungsversionen, treiber, etc herunterzuladen, wofür man sich sonst oft mühsam registrieren müsste um dann erst zugangsdaten für einen download zu bekommen ... die idee dahinter ist ja auch eine sinnvolle

[jutta]

ich hänge es hier an, um keinen neuen thread zu beginnen. die hacker des oben erwähnten dating/fremdgeh/portals haben "motherboard" erzählt, wie sie vorgegangen sind und was sie gefunden haben http://motherboard.vice.com/read/ashley ... ce=popular

keine ahnung, wie authentisch das interview ist. sie hatten aber offenbar genügend zeit (und bandbreite).

in einem anderen artikel mutmaßte John McAfee, dass der datendiebstahl das werk einer mitarbeiterin von AM sein muss. seine begründung: die daten enthalten insiderinformationen, es sind nicht nur einfache tabellen, sondern sqldumps und es muss eine frau gewesen sein, weil sie männer als "scumbags" bezeichnet und sich auf den valentinstag bezogen hat.
http://www.digitaltrends.com/computing/ ... nside-job/

zu herrn McAfees frauenbild und männerbild sag ich mal nix, aber wieso soll ein sqldump nur für firmeninsider möglich sein? kann doch jeder, der das passwort wieauchimmer herausgefunden hat, sofern der sql-server nicht so konfiguriert ist, dass er zugriffe nur von einer bestimmten ip-adresse aus erreichbar ist (was er bei gehosteten u/o ferngewarteten websites und servern meist nicht ist). was übersehe ich?

[lordpeng]

>dass er zugriffe nur von einer bestimmten ip-adresse aus erreichbar ist
>(was er bei gehosteten u/o ferngewarteten websites und servern meist nicht ist). was übersehe ich?
also zumindest vom frontend server der darauf zugreift sollte er auch erreichbar sein, aber ohne jetzt der SQL guru zu sein, behaupte ich jetzt mal, dass man da sicherheitstechnisch wohl eine limitierung von queries im SQL server hätte einbauen können um nicht keine abfragen wie

Code: Alles auswählen

SELECT * FROM 'KUNDENZUGANGSDATENFUERPORNOSEITE';

durchgehen zu lassen, sowas hilft natürlich nix, wenn ein script läuft, dass jeden account einzeln abfragt und dann eine liste draus baut, aber immerhin besser als gar nix

[jutta]

da hätte man auch mit nur durchschnittlicher krimineller phantasie und durchschnittlichen it-kenntnissen sicher mehrere sicherheitsmaßnahmen einbauen können. angefangen von sicheren vpn-passwörtern, die von zeit zu zeit geändert werden. wenn die hacker einmal im LAN sind und dann noch die arbeitsplatzrechner der mitarbeiter_innen laufen und alle zugangsdaten zu externen diensten wie mailboxen usw für den raschen zugriff gespeichert sind, gibts nicht mehr viele hindernisse.