Xbox & Games for Windows LIVE - Xbox.com als Sicherheitslücke?

Nicht Konsole oder PC-Menü sondern die Internetseite Xbox.com soll schuld daran sein, dass zahlreiche Spieler ihre Gamertags verlieren.

Von Michael Obermeier |

Datum: 16.01.2012; 11:20 Uhr

In den vergangenen Monaten gab es nahezu unzählige Meldungen über geklaute Xbox- und Games-for-Windows-LIVE-Accounts, bei denen mit Kreditkarten und andere hinterlegte Zahlungsmittel MS-Points und DLCs zu FIFA 12 gekauft wurden. Auch in unseren Redaktionen und unserer Community gab es Opfer dieser »Account-Diebststahl-Welle«. Der Betreiber Microsoft hatte auf unsere Nachfragen zwar nicht erklären können, wie die Datendiebe an die Zugangsdaten zu den Konten gekommen sind, schloss aber einen »Hack« des Xbox-LIVE-Dienstes kategorisch aus.

Laut einem Informanten soll Xbox.com die Achillesferse des LIVE-Diensts sein. Wie jetzt die Website Eurogamer.net berichtet, scheint die Sicherheitslücke woanders zu liegen. So hat Eurogamer per E-Mail Hinweise von einem gewissen »Jason« bekommen, dass die Zugangsdaten über die Internetseite »Xbox.com« abgefischt werden.

Zunächst recherchieren die Diebe über Suchmaschinen nach einem validen Gamertag. Da der Xbox- und Windows-LIVE-Spielername mit Diensten wie Facebook oder Twitter verknüpft ist, lässt sich zum Gamertag schnell eine zugehörige E-Mail-Adresse finden. Mit dieser klopfen die Diebe dann bei Xbox.com an. Die Website kommentiert jede falsche Eingabe mit zwei Fehlermeldungen: »Die E-Mail-Adresse oder das Passwort ist nicht korrekt« oder »Diese Windows LIVE ID existiert nicht«. So erkennen die Diebe schon beim ersten Versuch, ob die eingegebene E-Mail-Adresse zu einer funktionierenden LIVE-ID gehört. Da Xbox.com erst nach dem achten Fehlversuch ein sogenanntes »Captcha« (Bild mit Buchstaben) vor die Passwort-Abfrage setzt, können die Diebe laut »Jason« mit Password-Skripts weiterarbeiten um mit Gewalt Zugang zu bekommen.

Fast zeitgleich mit Eurogamer hat auch die Website AnalogHype.com eine ähnliche Anleitung von einem »Jason Coutee« bekommen. Der Verdacht, dass es sich dabei um die gleiche Person handelt, ist also berechtigt. Gegenüber AnalogHype.com behauptet der Netzwerk-Infrastruktur-Manager Coutee, selbst Opfer der Datendiebe geworden zu sein. Auf seine Anfragen beim Microsoft-Kundendienst wurde ihm jedoch nur angeboten sein Konto einzufrieren, nicht aber ihn für die 8000 MS-Points zu entschädigen, die unrechtmäßig mit seinem Geld gekauft wurden. Daraufhin hat er die Angelegenheit selbst in die Hand genommen und eigenmächtig die angebliche Sicherheitslücke Xbox.com aufgespürt.

Bislang gibt es keine Stellungnahme von Microsoft zu den Anschuldigungen von Jason Coutee.

Diesen Artikel: Kommentieren (20) | Drucken | E-Mail

FACEBOOK:
TWITTER:

WEITERE NETZE:	Weitersagen

Sagen Sie Ihre Meinung (» alle Kommentare)

Nur angemeldete Benutzer können kommentieren und bewerten!
» Zum Login

Sie sind noch nicht in der GameStar-Community angemeldet?
» Zur kostenlosen Anmeldung

Erster Beitrag | » Neuester Beitrag

1 2 3 weiter »

Mezzerli
#1 | 16. Jan 2012, 11:29

Immer diese grossen Firmen mit ihrer Sturrheit, eigene Fehler einzugestehen -_-"
Klar ist es nicht schön fürs Image, wenn man zugeben wird das man gehackt wurde. Sowas ist scheisse. Aber es abstreiten und zwei Wochen später die Beweise von Privatpersonen um die Ohren geknallt zu bekommen, sogar noch mit einer Beschreibung WIE die Daten geklaut wurden, ist meiner Meinung nach schlimmer. Zeugt nicht gerade von Kompetenz.

(13) |

(1)

Doktore
#2 | 16. Jan 2012, 11:37

Login vom Browser aus für 24h sperren, sollte das Passwort 3 mal falsch eingegeben worden sein, schon ist die Sache erledigt. Man kann sich dann immer noch das Passwort an die registrierte eMail schicken lassen (geändert). Den Betroffenen vorsichtshalber warnen, damit er sein Passwort ändern kann o. ä.

(1) |

(8)

Michael Obermeier
#3 | 16. Jan 2012, 11:42

Zitat von Mezzerli:

Ich glaube man muss hier klar unterscheiden: Ein Hack ist das jetzt immer noch nicht. So gesehen hat MS ja die Wahrheit gesagt. Dass sie Sicherheitsvorkehrungen bei der Passwort-Abfrage etwas zu locker sind, steht natürlich auf einem anderen Blatt.

(9) |

(2)

NaIhrDeppen
#4 | 16. Jan 2012, 11:43

Zitat von Mezzerli:

Immer diese grossen Firmen mit ihrer Sturrheit, eigene Fehler einzugestehen -_-"

Gibt eben lauter kleine Deppen, die total überheblich sind - und sobald sie was erreichen, erheben sie sich in die höchsten Höhen der Arroganz. ;)

Wenn dann auch noch eine geführte Firma hinzukommt, die sichtlichen Erfolg hat, verwandeln sie sich schnell in die eingebildetesten Arschlöcher aller Zeiten. ^^

S~eeeeeeeeeltsamerweise sind Firmen, die erfolgreich - aber NICHT arrogant sind, in den meisten Fällen immer sofort regelrecht beliebt bei den Leuten... ... ;)

(5) |

(4)

Neumi
#5 | 16. Jan 2012, 11:44

Ich wurde auch gehackt, bin da aber auch selbst schuld.

Hatte mich nicht an das Passwort erinnert und es zurücksetzen lassen, danach aus Faulheit ein altes vorläufig wiederverwendet ... großer Fehler. Das stammte aus der Zeit, als ein Hacker über mein MSN Spam verschickt hatte. Resultat: Am nächsten Tag war ich 7700 Punkte + nochmal 100 Euro los, dafür hatte ich 2 fette Goldmitgliedschaften und ein paar Erfolge in FIFA.

Microsoft hat mir aber die Punkte zurückerstattet, die Rückzahlung des Eurobetrags dauert noch etwas.

(5) |

(2)

PbVeritas
#6 | 16. Jan 2012, 11:56

Frechheit... Da bauen die Mist und der Kunde badets aus...

(4) |

(0)

Joe
#7 | 16. Jan 2012, 11:58

Hm, ich wurde am 24.12. auch mit diesem "Fifa-Hack" beglückt, kann die im Artikel beschriebene Lücke in diesem Fall nicht nachvollziehen.
Habe meinen Account extra für meine neue XBox angelegt, und diesen Account nie auf einem Computer oder einer Internetseite eingegeben. Die xbox.com Seite habe ich zuvor auch noch nie besucht. Mein Passwort erachtete ich auch als sicher (zahlen und buchstabenkombi, die nicht logisch aufgebaut ist).
Das sich jemand in mein WLan gehackt hat, ist auch sehr unwahrscheinlich, da es 1. sehr abgesichert ist, 2. ich in einem Kuhdorf lebe :-P
Ausserdem erfolgte der Hack nur wenige Stunden nachdem ich meine Kreditkarte hinterlegt hatte -- für mich sieht es eher so aus, als sitzt der Übeltäter direkt bei Microsoft.

(3) |

(1)

Mezzerli
#8 | 16. Jan 2012, 12:10

Zitat von :

Schlechte Wortwahl von mir, ich hab meinen Post jetzt nicht nur auf MS alleine bezogen sondern allgemein auf firmen bei dennen solche und ähnliche Dinge vorgekommen sind (:

(0) |

(2)

rob81
#9 | 16. Jan 2012, 12:19

Warum verteilen die Leute auch ihre KK Daten überall im Internet?
Es gibt PayPal, womit man auch über KK zahlen kann.

Und da scheinbar kein Unternehmen mit den Daten umgehen kann, sollte es zur Pflicht werden PayPal anzubieten !

(3) |

(5)

PbVeritas
#10 | 16. Jan 2012, 12:22

Zitat von rob81:

PP ist zwar auch nicht der Wahrheit letzter Schluss aber besser als Plaintext Kreditkarten Nummern

(4) |

(1)