Diebstahl
Die Syrian Electronic Army (SEA) hat wieder zugeschlagen. Diesmal wurden die Kontodaten von über einer Million Forbes-Lesern und -Mitarbeitern angegriffen. Insgesamt sind 1.071.963 Anwender betroffen – die Cyberkriminellen haben die Datenbank mit E-Mail-Adressen und den entsprechenden Passwörtern gestohlen und online veröffentlicht. Zudem wurden drei Forbes-Artikel verwüstet und auch das Firmen-Blog abgeschaltet. Doch wie konnte die SEA so eine riesige Infrastruktur überhaupt knacken?
Es wird angenommen, dass Forbes die Nutzerinformationen in einem PHP-Portable-Format gespeichert hat. Das bedeutet, dass jedes Passwort und ein zufälliges salt, das Angreifer behindern soll, durch den MD5-Algorithmus geschickt wurden. Dieser Algorithmus ist eine beliebte kryptographische Hash-Funktion, die oft eingesetzt wird, um die Echtheit von Daten zu verifizieren. Forbes hat 8.192 Duplikate des MD5 auf Hash und Passwort angewandt und das Ergebnis dann in der Datenbank gespeichert.
Die SEA hat diese gespeicherten Informationen genommen und eine Art harmloses Ratespiel veranstaltet. Sie haben zufällige, alltägliche Passwörter wie „ABCD“ mit den salts der Anwender ausprobiert, damit Hash-Werte erzeugt, die dann mit der Forbes-Datenbank verglichen wurden. Wurden Übereinstimmungen gefunden, waren die entsprechenden Passwörter offen sichtbar.
Und auch wenn die Passwörter verschlüsselt waren, rät Forbes seinen Lesern, ihre Login-Daten zu ändern:
Die E-Mail-Adresse jedes registrierten Mitglieds von Forbes.com wurde kompromittiert. Bitte hüten Sie sich vor E-Mails, die angeben von Forbes zu kommen, denn die Liste der E-Mail-Adressen könnte für Phishing-Attacken verwendet werden. Wir haben bereits die Strafverfolgungsbehörden informiert. Wir nehmen den Vorfall sehr ernst und entschuldigen uns bei den Mitgliedern unserer Community für diesen Hacker-Einbruch.
Das Hauptproblem hierbei ist, dass viele Anwender dazu tendieren, den gleichen Nutzernamen und das gleiche Passwort für mehrere Konten zu verwenden. Also ist nun jeder Forbes-Nutzer, dessen Login-Informationen öffentlich zugänglich sind, dem Risiko weiterer Angriffe auf mehreren Plattformen ausgesetzt.
Deshalb können wir Sie nicht genug davor warnen, das gleiche Passwört für verschiedene Konten zu verwenden. Denn sobald ein Konto erfolgreich angegriffen wurde, ist auch der Rest angreifbar, und Cyberkriminellen ist dies absolut bewusst. Wir empfehlen daher, einen Passwort-Manager zu verwenden, der es Ihnen ermöglicht, starke, individuelle Passwörter für jedes Ihrer Online-Konten zu verwenden, so dass ein Datendiebstahl bei einem der Konten nicht den Datenverlust auf all Ihren genutzten Plattformen nach sich zieht.
Tipps