Am 15. Januar 2007 wurde auf der Sicherheitsmailingliste Full-Disclosure ein Link zu einer Textdatei mit über 56.000 Benutzernamen und Passwörtern veröffentlicht, die während eines Phishing-Angriffs auf Benutzer der Community-Seite MySpace.com gesammelt wurden. Während die Phisher begannen, mit den Daten Schindluder zu treiben, nutzten Sicherheitspezialisten die Liste für Analysen zur Qualität der Passwörter. Demnach steigt allgemein die Komplexität der Passwörter, in dem Anwender relativ lange Wörter verwenden und auch Zahlen einbauen – gegen Phishing-Angriffe hilft allerdings auch das beste Passwort nichts.
Eine Woche nach der Veröffentlichung der Liste, von denen nur rund 39.000 gültige Anmeldedaten enthielten, haben wir betroffene Anwender per E-Mail befragt, ob MySpace oder jemand anderes sie über den Vorfall informiert hat, welche Erfahrungen sie bei der Nutzung des Dienstes gemacht haben und wie sie zum Schutz ihrer Daten stehen. Immerhin über 900 haben geantwortet. Nur 39 wurden nach eigenen Angaben von MySpace über den Vorfall informiert, 293 wurden durch die Umfrage-Mail aufmerksam gemacht, 319 erfuhren auf anderem Weg davon. In den meisten Fällen wollen Anwender einen Missbrauch der Daten anhand von Spam-Mail-Rundschreiben an den gesamten Freundeskreis bemerkt haben. Auch veränderte Profile mit Werbung für teilweise nicht jungendfreie Inhalte fielen den Betroffenen und ihren Freunden auf.
573 wollen bemerkt haben, dass sich jemand anderes an ihr Konto angemeldet hat. Von 50 Konten wurde sogar das Passwort von Fremdem verändert. 818 haben nach dem Vorfall ihr Kennwort selbst geändert. Die Phisher waren offenbar hauptsächlich daran interessiert, Werbung zu versenden, die Benutzer durch verunstaltete Profile zu ärgern oder auch nur mal ein bisschen in den privaten Daten zu schnüffeln.
216 befürchten jedoch, dass die abgephishten Daten auf irgendeine Weise gegen sie benutzt werden könnten. Kompromittierendes Material wollen aber nur wenige in ihren Profilen gehabt haben, da sich viele wohl des Risikos bewusst waren. Teilweise herrscht aber auch ein humorvoller Umgang mit Identitätsdiebstahl, so antwortete einer, dass sein Kredit-Rating so schlecht ist, dass die Phisher seine Identität gerne haben können.
Ein zusätzliches Risiko für die Nutzer ist die weit verbreitete mehrfache Nutzung von Passwörtern, so haben mehrere berichtet, dass auch der E-MMail-Account, der als Benutzername bei MySpace verwendet wird, missbraucht wurde. In mindestens zwei Fällen wurden beide Passwörter geändert. Zwar gelten die meist jugendlichen MySpace-Benutzer als wenig produkttreu, die schnell die Anbieter von Community-Sites wechseln, die Umfrage konnte dies aber nicht bestätigten. Nur 7 der Befragten gaben an, dass sie ihr Profil gelöscht haben. Die gleiche Anzahl hat sich nach der Zerstörung des ersten Profils gleich ein neues angelegt.
Bei früheren Sicherheitsproblemen hat MySpace teilweise recht schnell reagiert. So wurde beim Samy-Wurm die gesamte Seite abgeschaltet und automatisiert der Schadcode aus den Profilen entfernt. Beim QuickTime-Wurm wurde ähnlich verfahren. Beim letzten Vorfall kam die erste Reaktion von MySpace aber erst nach 10 Tagen. Dabei bat MySpace den Mailinglisten-Betreiber, die Liste der Benutzerdaten aus dem Archiv zu entfernen. Allerdings gibt es weitere Archive der Mailingliste von anderen Betreibern, wo die Liste auch weiterhin abrufbar ist.
Quelle :
www.heise.de
