NEWS Angriff auf eBay-Datenbank - PW-Wechsel für alle 145 Mio. User - weitere Sicherheitslücken entdeckt

Neuer Tag, neues Datenleck: eBay teilt aktuell mit, dass sich Unbekannte Zugangsdaten von Mitarbeitern verschafft hätten und über das Firmennetz Zugriff auf eine Datenbank mit verschlüsselten Passwörtern und anderen Daten erlangt haben. Der Angriff erfolgte Ende Februar / Anfang März und wird aktuell noch genauer untersucht.

Zu den betroffenen Daten zählen Kundennamen, E-Mail-Adresse, Postadresse, Telefonnummer, Geburtsdatum und das verschlüsselte Passwort.

Kreditkartendaten sind nach aktuellem Infostand nicht betroffen und eBay sind (noch?) keine Missbrauchsfälle bekannt. eBay-User sollen das Passwort ändern, was sie bei eBay verwenden bzw. auch überall dort, wo das gleiche PW noch eingesetzt wird.

E-Mail-Benachrichtigungen an die 100+ Millionen eBay-Kunden werden demnächst verschickt.

PayPal-Daten sind - laut eBay - nicht betroffen, aber es schadet bestimmt nicht bei der Gelegenheit auch dort ein neues PW zu vergeben. Damit ist man auf jeden Fall auf der abgesicherten Seite.

Der Datenbankzugriff ist den Angaben zufolge Ende Februar oder Anfang März erfolgt, heißt es weiter. Die betroffene Datenbank habe die Kundennamen, E-Mail-Adresse, Postadresse, Telefonnummer, Geburtsdatum sowie das verschlüsselte Passwort enthalten. Kreditkartendaten seien nicht betroffen, diese würden separat und verschlüsselt gespeichert.

Zum Vergrößern anklicken....

Quelle: http://www.heise.de/newsticker/meld...endern-2195127.html?wt_mc=rss.ho.beitrag.atom


Update 22.05: 145 Mio. Kunden betroffen & Kritik an eBay

Die Angreifer hätten sich Zugang zur kompletten Kundendatenbank [145 Millionen] verschafft und davon "einen großen Teil" kopiert, bestätigte eine Unternehmenssprecherin

Zum Vergrößern anklicken....

Welches Verschlüsselungsverfahren für das gespeicherte Passwort verwendet wird, will eBay nicht genau verraten. Nur so viel: "Wir speichern die Passwörter gehasht und gesalzen", sagt das Unternehmen

Zum Vergrößern anklicken....

Sicherheitsexperten kritisierten neben der verlangsamten Benachrichtigung auch, dass die Passwörter nicht gleich zurückgesetzt wurden [...] Jetzt will eBay das offenbar in Eigenregie machen: "Wir bereiten den entsprechenden Prozess derzeit vor"

Zum Vergrößern anklicken....

gibt es erste Hinweise auf einen möglichen Zusammenhang mit Phishing-Mails. heise online liegen Phishing-E-Mails vor, in denen eBay-Nutzer aufgefordert werden, über ein angehängtes HTML-Formular ihre Kreditkartendaten einzugeben.

Zum Vergrößern anklicken....

http://www.heise.de/newsticker/meld...roffen-2195974.html?wt_mc=rss.ho.beitrag.atom


Update 23.05 zu einer Sicherheitslücke auf der Seite: eBay war 2 Monate lang eine Sicherheitslücke bekannt (via JavaScript konnte Cookies zugegriffen werden), aber die wurde bislang nicht geschlossen:

beliebigen JavaScript-Code in Auktionen zu platzieren. Der Code kann angeblich dazu genutzt werden, die Session-Cookies der Auktionsbesucher abzugreifen oder Malware zu verbreiten.

[...]eBays Sicherheitsabteilung [...] zu dem Schluss, dass es sich um ein vertretbares Risiko handele. [...]Daraufhin hat sich das Online-Auktionshaus nicht mehr bei ihm gemeldet.

Zum Vergrößern anklicken....

http://www.heise.de/newsticker/meldung/Cookie-Klau-durch-zwei-Monate-alte-eBay-Luecke-2196557.html


Update 27.05
Weitere Sicherheitslücken (Scripting-Lücke wurde eBay Jan 2014 gemeldet)

Erneut wurden ernstzunehmende Schwachstellen bekannt – und wieder weiß das Unternehmen seit Monaten Bescheid.[...] zwei sogenannte Cross-Site-Scripting-Lücken (XSS) entdeckt, durch die ein Angreifer Javascript-Code in die Site einschleusen kann.
Dieser Code kann etwa das Sitzungs-Cookie angreifen und an einen anderen Server übertragen oder aber auch das Registrierungsformular umleiten. Schurtz gibt an, eBay bereits Ende Januar über das Kontaktformular für Security-Experten auf die Lücken aufmerksam gemacht zu haben.

Zum Vergrößern anklicken....

Eissele ist es ebenfalls gelungen, JavaScript an eBays Filtermechanismen vorbei zu schleusen. In seinem Fall wird der Code sogar als Teil der Auktionsdaten bei eBay gespeichert (Persistent XSS). eBay erklärte gegenüber heise Security, dass die Lücke noch "in Begriff sei, beseitigt zu werden"

Zum Vergrößern anklicken....

Und so läuft der PW-Wechsel der 145 Mio. eBay-Kunden:

Wer das bisher nicht erledigt hat, wird nun gezwungen:[...] Wer einwilligt, dem schickt eBay einen Bestätigungscode [...] Alternativ kann man sich auch anrufen lassen, woraufhin ein Sprachcomputer den Code vorliest. Der Bestätigungscode ist zwingend notwendig, um die Passwortänderung durchführen zu können. Bei einem Test von heise Security endete der Prozess zwar mit einer Fehlermeldung, das Passwort wurde aber dennoch geändert.

Zum Vergrößern anklicken....

http://www.heise.de/newsticker/meld...llen-erzwungener-Passwortwechsel-2198431.html

Na toll...

eBay mal geändert. PayPal ändere ich eh immer alle paar Monate

Na, wie geil. Und seit wann ist das eBay bekannt? Sicherlich auch wieder paar Wochen.

Ein Tipp: Der HPI Identity Leak Checker schaut nach, ob Daten in Zusammenhang mit deiner Mail-Adresse schon irgendwo kursiert.

Das nervt einfach alles nur noch. Was war das Internet mal eine gemütliche kleine Runde.

Irgendwann schaltet jemand mal alles ab, und dann stehen wir dumm da.

silbex schrieb:

Na, wie geil. Und seit wann ist das eBay bekannt? Sicherlich auch wieder paar Wochen.

Ein Tipp: Der HPI Identity Leak Checker schaut nach, ob Daten in Zusammenhang mit deiner Mail-Adresse schon irgendwo kursiert.

Zum Vergrößern anklicken....

Tjo, so wie es aussieht, ist irgend einer meiner Accounts gehackt, son shit

Oh wie schön...gerade trudeln diverse Kopien von Email-Anfragen, die ich angeblich zu einem Samowar über Ebay Kleinanzeigen gemacht habe, ein....

Wie kann ich die von Paypal ändern? Ich habe meine Frage Antwort vergessen und ohne die geht es ja irgendwie nicht!

Wie sollen die denn durch die Ebay-Daten an die PayPal-Daten kommen?

Ebay und PayPal gehören zusammen.

Archiworld schrieb:

Wie kann ich die von Paypal ändern? Ich habe meine Frage Antwort vergessen und ohne die geht es ja irgendwie nicht!

Zum Vergrößern anklicken....

musste anrufen, afaik

Was hat es denn mit diesem HPI Identity Leak Checker auf sich? Höre davon gerade zum ersten Mal...

gerade PW geändert. Das ist doch alles eine Seuche. Das wird ja nur noch schlimmer.

Ich habe zwar seit geraumer Zeit 1password im Einsatz, aber ob das wirklich hilft, weiß ich auch nicht. Zumindest wird kein Passwort mehr im Browser gespeichert, die Dinger knacken sie ja alle am Fließband..

Dämlich auch dass einem irgendwann die Ideen für PW ausgehen wenn man die alle Nase lang wegen solch einem Mist ändern muss. Ich halte nichts von diesen Hg187GGzXxtitts_xXx Passwörtern, denn ich möchte das PW gern beim eingeben aus dem Kopf her parat haben. Und das geht nur mit einem personalisierten Kennwort, wo man aber auch sehr sicher mit sein kann wenn man kreativ ist.

Aber es macht halt echt keinen Bock das ständig zu ändern. Was war das schön als man sorglos bei Ebay, Amazon und in Foren dieselbe email Adresse und dasselbe PW nutzen konnte. Heute ist das inet nur noch eine Maschinerie für Betrüger. Traurige Realität.

Oh ja das war zu den Zeiten, als dich nicht jeder versucht hat im Internet übers Ohr zu hauen.

Egal was du machst, du hast immer ne Hand voll Betrüger um dich rum. Neue Verkäufer bei Amazon, die nur pers. per Mail kontaktiert werden wollen, Angebliche Neuware bei Ebay zum Festpreis. Auch bei den Kleinanzeigen kriegst du erst einmal unzählige Mails aus den UK inklusive gefälschter Paypal-Emails, wenn du was reinstellst, Drar beim Konsolentreff etc.

Ist sicher mal interessant einen totalen Internetneuling ein paar Transaktionen im Internet durchführen zu lassen. Laptop über Kleinanzeigen verkaufen, XY möglichst günstig bei Ebay oder Amazon kaufen etc.

Ich denke die Person müsste schnell VIEL Lehrgeld zahlen

Anscheinend bin ich noch "clean". Aber das nervt wirklich tierisch...

Wie kann es eigentlich sein, dass ich von meiner Mail-Adresse Spam-Mails auf diese Mail-Adresse bekomme? Mail-Account gehackt?

Langsam wäre ich echt glücklich, wenn man irgendwie ein globales Passwort für jede Plattform benutzen könnte, das dann noch auf andere Weise verifiziert wird. Fingerabdruck oder sowas. Ich muss schon auf der Arbeit über zehn unterschiedliche(!) Passwörter monatlich, aber an anderen Tagen, ändern. Dazu kommen fünf PINs. Privat geht der Irrsinn online weiter. Überall verschiedene Vorgaben, andauernde Hacks. Erst Montag wollte jemand aus China meinen E-Mail-Account hacken. Mein Gehirn ist nur noch Mus.

Aufgrund der ganzen Änderungen in letzter Zeit, bin ich nun von keepass auf Lastpass umgestiegen. Klar jetzt liegt der Kram in der Cloud und das noch bei einem US Unternehmen (NSA lässt grüßen).

Aber die Passwörter a) ständig zu ändern und b) auch noch kryptisch zu halten war mir jetzt selbst mit keepass und plugin zu umständlich.

Zumal ich das plugin wiederum nicht auf der Arbeit einsetzen kann (kein Zugriff auf dem Webstore auf dem keepass db liegt). Ohne plugin kryptische Passwörter ständig mit copy & Paste einsetzen geht einem ja nur auf den Keks.

So hab ich halt das kleinere Übel gewählt auch wenn es nicht perfekt ist. Mittlerweile hab ich auch die Pro Version - kostet 1 Dollar im Monat, damit gibt es dann auch den client für Android und IOS.

Funktioniert aber ansonsten sehr gut - loggt mich in meine Seiten automatisch ein, Passwörter sind schnell geändert und stehen auf allen Geräten zur Verfügung.

Nunja - gestern kam dann der nächste "Shock". Hab meine Synology zuhause gepflegt und poch, poch - Horch was kommt von draußen rein, wird doch nicht ein Hacker sein. Irgendwelche schei.... Chinesen versuchen in meine Synology zu kommen - immer wieder der Versuch über root per SSH. Hab sogar die Provinz eingegrenzt. Nun hab ich die Syn Firewall erst mal um den kompletten Asiatischen Adressraum erweitert - nada ihr kommt hier net rein.

Blöd nur das ich einige Ports in der Fritz Firewall halt offen habe - will ja auch von außerhalb auf meine Syn und ihre Dienste. Außerdem braucht der Kack u-play Client offene Ports.

Bin ich paranoid wenn ich mich jetzt nach ner Hardware Firewall umsehe - die Firewall in der Fritz ist ja nicht so üppig konfigurierbar. Das nervt!

Ich lese deinen Beitrag und versteh nur Bahnhof. Das macht mich paranoid.

Die meisten sind wohl ganz normal im Netz unterwegs. Nerven tut es wie Sau, aber ich mache mich deswegen nicht total verrückt.

Zimtzicke schrieb:

Anscheinend bin ich noch "clean". Aber das nervt wirklich tierisch...

Wie kann es eigentlich sein, dass ich von meiner Mail-Adresse Spam-Mails auf diese Mail-Adresse bekomme? Mail-Account gehackt?

Zum Vergrößern anklicken....

Kompletten Header der Mail anschauen, das is nich deine Emailadresse. Die tarnt sich nur als diese..
Das wirklich dein Mailaccount gehackt is, liegt bei ~1%.

---

@mushaaleste
Also wenn ich eins nie machen würde, wäre es meine Passwörter in ne (fremde) Cloud zu legen.
Egal wie praktisch das dann auch is..

Passwörter liegen ganz altmodisch daheim auf nem Stück Papier in ner Schublade.
1-2-3 hab ich im Kopf um auch mal von auswärts was bestellen zu können, etc. Der Rest muss halt warten bis ich daheim bin.