Die Foren von Epic Games wurden gehackt

[Stegan]

<p><img src="/images/stories/logos-2015/epicgames.jpg" alt="epicgames" style="margin: 10px; float: left;" height="100" width="100" />Derzeit sind die Foren von Epic Games offline. Der Grund ist ein Hackerangriff. Wie die Spieleschmiede und der Entwickler der Unreal Engine seine Nutzer per E-Mail wissen ließ, haben sich Unbekannte Zugriff auf verschiedene interne Datensätze verschafft und dabei nicht nur die Zugangsdaten der Nutzer abgreifen können, sondern auch den Nutzernamen, die E-Mail-Adresse, das Passwort und das Geburtsdatum, welches bei der Registrierung angegeben wurde, einsehen können.</p>
<p>Während man im Hintergrund auf Fehlersuche geht und bei der Sicherheit kräftig nachbessern will, wurden alle Passwörter der Nutzer zurückgesetzt. Epic Games empfiehlt Betroffenen,...<br /><br /><a href="/index.php/news/software/browser-und-internet/36099-die-foren-von-epic-games-wurden-gehackt.html" style="font-weight:bold;">... weiterlesen</a></p>

 

[pescA]

"und dabei nicht nur die Zugangsdaten der Nutzer abgreifen können, sondern auch den Nutzernamen, die E-Mail-Adresse, das Passwort und das Geburtsdatum"

Passwörter als Klartext speichern sollte als grob fahrlässig gelten und mit entsprechenden Geldstrafen belegt werden. Auch verstehe ich nicht, wozu man ein Geburtsdatum angeben muss... als Altersverifikation ist es ja unzureichend.

Also ich kriege immer das K*tzen, wenn ich sehe welche Daten alle erhoben werden. Man sieht ja immer wieder, dass sie geklaut werden können.

 

[foxtrot]

@pesca:

Du glaubst doch nicht wirklich, dass die Passwörter im Klartext gespeichert werden.

Die werden in kombination Passwort+Salt in einen Hashgenerator gejagt und dann in der Datenbank abgelegt. Trotz dieser maßnahme kann man bei bekannten Salt+Hash mit viel aufwand das Passwort errechnen.

Interessanter für die Diebe waren aber bestimmt die E-Mailadressen und weitere Benutzerinformationen.


gruß fox

 

[64bit]

"und dabei nicht nur die Zugangsdaten der Nutzer abgreifen können, sondern auch den Nutzernamen, die E-Mail-Adresse, das Passwort und das Geburtsdatum"

Passwörter als Klartext speichern sollte als grob fahrlässig gelten und mit entsprechenden Geldstrafen belegt werden. Auch verstehe ich nicht, wozu man ein Geburtsdatum angeben muss... als Altersverifikation ist es ja unzureichend.

Also ich kriege immer das K*tzen, wenn ich sehe welche Daten alle erhoben werden. Man sieht ja immer wieder, dass sie geklaut werden können.

Woher weißt du, dass die Passwörter im Klartext gespeichert wurden? Ich denke, sie wurden schon verschlüsselt. Allerdings kann auch das problematisch sein, wenn der Hash schwach ist.
Zum Geburtsdatum: Steam lässt mich bspw. jedes Mal ein neues Geburtsdatum eingeben. Wenn sie meins speichern würden, wüssten sie, dass ich gelogen habe, wenn ich das nächste Mal ein anderes angebe.

Viel lustiger finde ich ja im Artikel: Wir danken unserem Porennutzer und Super-Moderator "King Bill" für den Hinweis zu dieser News.
Ist das ein Insider? P und F liegen doch etwas weit auseinander. Ansonsten: lustige und eklige Vorstellung..

 

[awehring]

Woher weißt du, dass die Passwörter im Klartext gespeichert wurden? Ich denke, sie wurden schon verschlüsselt. Allerdings kann auch das problematisch sein, wenn der Hash schwach ist.

Der englische Text erweckt schon den Eindruck, dass die Passwörter im Klartext oder nur schwach verschlüsselt erbeutet wurden - was eine unglaubliche Rücksichtslosigket im Umgang mit den Kundendaten wäre.

Jeder der dort ein Login hat, soll auf jeden Fall überall sein Passwort ändern, wo er/sie ähnliche hat.

Bei den gehäuften Einbrüchen führt wohl kein Weg mehr an Keepass & Co. vorbei.

 

[DragonTear]

Auch verstehe ich nicht, wozu man ein Geburtsdatum angeben muss... als Altersverifikation ist es ja unzureichend.

Das könnte rechtliche Gründe haben...

 

[Tombstone]

Der englische Text erweckt schon den Eindruck, dass die Passwörter im Klartext oder nur schwach verschlüsselt erbeutet wurden.

Ach wirklich, wo das denn? Da steht nur, welche Art von Daten abgegriffen wurden, aber nicht, wie sie im System gespeichert wurden.

 

[awehring]

We are sorry to report that the incident may have resulted in unauthorized access to your username, email address, password, and the date of birth you provided at registration.*

Nichtauthorisierter Zugriff auf ... das Passwort.

Das suggeriert, dass die Passwörter tatsächlich erbeutet wurden.

Natürlich ist das Interpretation, aber es steht nicht Passworthash oder etwas von verschlüsselt.

 

[fdsonne]

Nichtauthorisierter Zugriff auf ... das Passwort.

Das suggeriert, dass die Passwörter tatsächlich erbeutet wurden.

Natürlich ist das Interpretation, aber es steht nicht Passworthash oder etwas von verschlüsselt.

Der Fokus liegt dort eher auf nichtauthorisierter Zugriff... Und es wurden die Daten aufgezählt, welche man offenbar abgegriffen hat. -> wie die Daten abgelegt wurden, steht dort nicht. Auch suggeriert die Aussage das keineswegs. Auch ein super verschlüsseltes Password ist/bleibt ein Password.
Was man hätte dazu schreiben können (wobei wir das nicht wissen), ob es sich in dem Fall um verschlüsselte/gehashte Daten oder Daten im Klartext handelt. Es kann sowohl als auch sein.

 

[awehring]

Bei dem, was im Text steht, hast du natürlich recht, da sind beide Interpretationen gleichwertig.

Aber man muss auch in Betracht ziehen, wie so ein Text zustandekommt. So ein heikler Text wird von der Firmenspitze verfasst. Epic ist ja kein Tante-Emma-Laden.

Ein Text, der das Ansehen der eigenen Firma beschädigt, wird äußerst sorgfältig formuliert. Einerseits will man die Rufschädigung gering halten und die Sache möglichst herunterspielen, andererseits darf man nichts wirklich falsches schreiben, um sich nicht juristisch angreifbar zu machen.

Um so einen ausgefinkelten Text wirklich zu verstehen, muss man also vor allem schauen, was nicht geschrieben ist. Wenn nichts von verschlüsselt/gehasht dasteht, ist das ein schlechtes Zeichen.

Das ist wie bei einem Arbeitszeugnis: wenn nur die Arbeitsinhalte erwähnt sind, aber nichts über das Verhalten des Mitarbeiters steht, gehen bei jedem Personalchef die Alarmglocken los. Entweder hat das Arbeitszeugnis ein völliger Laie geschrieben, oder der Mitarbeiter benahm sich unmöglich.