Nach Hotmail-Angriff

Phishing-Attacke auf Yahoo und Googlemail

Nicht nur Microsoft Hotmail war von einer groß angelegten Phishing-Attacke getroffen. Die Kriminellen habe es auch auf Zugansdaten von Yahoo und Google abgesehen, wie Sicherheitsforscher berichten.

Am Montag wurde eine groß angelegte Attacke auf den Microsoft-Mail-Dienst Hotmail bekannt. Phisher hatten sich die Zugangsdaten zu über 10.000 Konten der Microsoft-Dienste Hotmail und Live-Mail beschafft, ohne dabei in die Server einzubrechen. Die Nutzer waren auf eine gefälschte E-Mail hereingefallen, laut derer ihr Zugang gesperrt worden war. Die Nutzer hatten die ihre Zugangsdaten auf einer Website eingetragen, in der Hoffnung, dass der Zugang reaktiviert wird. Die Phisher hatten die Daten anschließend online gestellt.

Laut der BBC war Microsoft aber nicht das einzige Opfer. Die britische Medienanstalt meldet, dass es die Phisher auch auf Zugangsdaten von Googlemail, Yahoo und AOL abgesehen haben. Insgesamt gäbe es rund 30.000 Zugangsdaten auf den Listen, laut Google sind etwa 500 eigene Accounts darunter.

Ein Forscher der Web-Sicherheitsfirma Acunetix hat die Listen mit den Passwörtern genauer ausgewertet. Die ursprüngliche Liste mit Hotmail-Accounts enthielt 10 028 Einträge erhielt, davon waren 9843 mit einem Passwort versehen. Von diesen 9843 Accounts hatten 64 das gleiche Passwort, nämlich „123456“. Das längste Passwort war demnach 30 Zeichen lang und lautete „lafaroleratropezoooooooooooooo“.

Diese Attacke zeigt, dass Phishing-Angriffe noch immer äußerst lukrativ sein können. Verschärft wird die Problematik, da immer mehr Firmen ihre Dienste an E-Mail-Konten koppeln. Microsoft setzt beispielsweise für Dienste wie das TechNet, Xbox Live oder den MyPhone-Synchronisationsdienst auf Live-IDs und Hotmail-Konten. Google steuert darüber Dienste wie Picasa, Google Groups, Blogger, Google Talk bis hin zum Bezahlsystem Google Checkout. Und Yahoo bietet nicht nur Zugriff auf Flickr, sondern ist auch ein Anbieter von OpenID. Im schlimmsten Fall haben die Phisher somit Zugriff auf die komplette digitale Identität ihrer Opfer und könne solche Daten beispielsweise auch als Startpunkt für Social Engineering Attacken nutzen. Daher gilt mehr denn je: Starke Passwörter, die regelmäßig geändert werden und sich von Account zu Account unterscheiden sind Pflicht. Was Kriminelle mit persönlichen Daten alles anstellen können und wie der digitale Schwarzmarkt funktioniert, zeigt unser Artikel „Das Netz der Phisher“. (mja)