Xbox Live - Online Service wird zur Phishing Zielscheibe

[XO Snatchy]

16053

Internet-Betrüger setzen mit ihren Phishing-Versuchen immer häufiger auf Microsofts Online-Dienst Xbox Live.
Rückendeckung für Opfer gibt es dabei jedoch nur wenig.

Internet-Betrüger haben in den letzten Monaten Microsofts Online-Plattform Xbox Live für sich entdeckt.
Im Rahmen so genannter Phishing-Attacken (http://www.mcvuk.com/news/read/xbox-live-hack-gets-front-page-treatment-from-the-sun/087491) werden dabei Emails ans XBL-Mitglieder verschickt, in denen die Täter im Namen von Microsoft um die Eingabe von persönlichen Daten bitten.
Diese werden von den arglosen Mail-Empfängern häufig über einen fingierten Link preisgegeben.

Mit den unrechtmäßig erworbenen Login-Informationen werden anschließend die entsprechenden Konten, auf denen meist ein Xbox-Live-Punkte-Guthaben oder Kreditkarten-Daten hinterlegt sind, leergeräumt.
Der entstandene Schaden beläuft sich im Durchschnitt auf 100 bis 200 Euro pro Xbox-Live-Mitglied.
Betroffen sind Spieler aus über 35 Ländern.

Microsoft bezog heute Stellung zum Thema und betonte, dass es sich bei den Phishing-Attacken nicht um Hacker-Angriffe handle.
Der Konzern arbeite verstärkt an neuen Sicherheitsmaßnahmen. Opfer können jedoch nicht mit Hilfe rechnen, denn Microsoft betonte, dass nur die Nutzer mit einer Rückerstattung bedacht werden, die ihr Passwort nicht preisgegeben haben.
Ohne selbiges kommen die Online-Betrüger jedoch gar nicht erst auf das XBL-Konto.


Quelle: www.gamepro.de (http://www.gamepro.de)

[XO Bim]

Find ich gut so wie das Microsoft löst. Sehr lobenswert :)
Und bei XBOX LIVE is halt noch was zu holen, die PS3 wurde ja bis zum Gerippe ausgenommen. Die Erfolgschancen dort sind sehr gering.

Aber ich find die Überschrift schon doof. "Rückendeckung für Opfer gibt es dabei jedoch nur wenig". Stimmt ja so nich wie die es sagen :)

[XO Snatchy]

16879

Schon seit Wochen beschweren sich viele Xbox-Live-User darüber, dass ihre Accounts von Unbekannten gehackt werden, die dann mit den dort hinterlegten Kreditkartendaten einkaufen gehen.
Sogar einen Spielejournalisten hat es schon erwischt (http://www.krawall.de/web/Xbox_360/news/id,60463/).
Microsoft jedoch bestritt bislang hartnäckig, sein Dienst sei gehackt worden.
Stattdessen liege die Schuld beim Nutzer, der vermutlich auf Phishing-Attacken hereingefallen sei.
Der Xbox-Nutzer Jason Coutee, der ebenfalls Opfer eines solchen Angriffs wurde, sagt nun: Stimmt nicht.
Coutee ist selbst IT-Experte und will die Schwachstelle über die sein Account gehackt wurde anderswo ausgemacht: In der Xbox.com Webseite.

Anstatt seinen Account für eine "Untersuchung" durch Xbox Live für 30 Tage stilllegen zu lassen, machte sich Coutee lieber selbst auf Spurensuche.
Seine Theorie lautet wie folgt: Die Unbekannten sammeln über Xbox-Live zunächst ein paar Gamertags.
Dann versuchen sie über Google diese Gamertags einer Emailadresse zuzuordnen.
Foreneinträge, Facebook-Postings - alles wo der Nutzer seinen Xbox-Live-Namen erwähnt und seine Email-Adresse sichtbar sein kann.
Anschließend würden die Hacker sich einfach mittels eines so genannten "Brute Force"-Angriffs über die Webseite Zugang verschaffen.
Dabei probiert ein kleines Programm einfach eine ganze Bibliothek von Passwörtern für den Account aus, bis irgendwann eines passt.
Ein Logikfehler auf der Xbox-Seite mache dies möglich.

Um Brute-Force-Angriffe zu verhindern verlangen Webseiten normalerweise nach ein paar Versuchen die Eingabe eines so genannten "Captcha"-Codes.
Der muss aus einer Bilddatei abgelesen werden, was der Mensch vor dem Rechner kann, das Programm, das seine Passwörter durchprobieren will aber nicht.
Das Problem der Xbox-Seite sei nun aber, dass sie die Option anbiete, die lautet "mit einer anderen Live-ID versuchen". Wählt man diese aus, sind wieder ein paar Versuche.
Indem das Programm immer diese Option anwählt, lässt sich der automatisierte Prozess eben doch endlos fortsetzen.

Coutee hat nach eigenen Angaben Microsoft auf diese Lücke aufmerksam gemacht.
Der Fehler ist leicht zu beheben, zum Beispiel indem Microsoft einfach den Account-Login nach etlichen Fehlversuchen sperrt und ihn nur via Email an die registrierte Adresse und Eingabe eines entsprechenden Codes entsperrt.
Bislang hat sich der Konzern nicht zu dem Problem geäußert.
Fest steht aber auch, dass ein Passwort nur dann per Brute-Force-Methode geknackt werden kann, weil es vom Nutzer nicht komplex genug gewählt wurde.

Quelle: http://www.krawall.de/web/Xbox_360/news/id,60840