Das Online-Aktionshaus Ebay ruft nach einem Hackerangriff, der sich bereits Ende Februar ereignet hat, alle Nutzer zur Änderung ihrer Passwörter auf. Durch gestohlene Mitarbeiter-Log-ins haben sich die Angreifer Zugang zu einer verschlüsselten Datenbank mit Kundendaten verschafft, die neben Benutzernamen und Kennwörtern auch E-Mail- und Postadressen der Anwender sowie deren Telefonnummer und Geburtsdatum gespeichert waren.

Ebay betont, dass es bisher keinen Anstieg von betrügerischen Aktivitäten auf seiner Handelsplattform registriert habe. Auch seien keine Bank- oder Kreditkartendaten gestohlen worden. Diese werden in einer anderen Datenbank gespeichert. Von dem Angriff sind Zugangsdaten seiner Bezahldiensts Paypal nicht betroffen. Diese werden in einem anderen Netzwerk gespeichert. Trotzdem rät Ebay auch Paypal-Anwendern ihre Passwörter zu ändern. Kunden, die das Ebay-Passwort auch für andere Dienste nutzen, sollten bei diesen ebenfalls ihre Zugangsdaten ändern und in Zukunft vermeiden, identische Passwörter für andere Dienste zu verwenden.

Warum Ebay seine 128 145 Millionen Nutzer erst so spät über den Angriff informiert hat, geht aus dem Firmen-Blogeintrag hervor. Das Unternehmen hat angeblich erst Anfang Mai von dem Diebstahl der Mitarbeiter-Log-ins erfahren und anschließend den Vorfall näher untersucht und erst jetzt herausgefunden, welche Datenbank die Hacker im Visier hatten. Ebay-Nutzer würden auch per E-Mail über den Vorfall informiert, teilte das Unternehmen mit.

Angriffe auf Internetdienstleister sind leider keine Seltenheit. Anfang April meldete das Bundesamt für Sicherheit in der Informationstechnik zum wiederholten Mal, dass Kriminelle fast 20 Millionen E-Mail-Konten erbeutet haben, um mithilfe eines Botnetzes sich in E-Mail-Accounts einzuloggen und diese für den Versand von Spam-Mails zu missbrauchen.

Identitätsdiebstahl ist dem Bundesamt zufolge eines der größten Risiken bei der Internetnutzung. Meist schleusen die Angreifer eine Schadsoftware auf dem Rechner ihres Opfers ein, die etwa Tastatureingaben und Anmeldevorgänge protokolliert oder Transaktionen direkt manipuliert. Die aufgezeichneten Daten werden dann vom Nutzer unbemerkt an von den Angreifern präparierte Rechner gesendet (“Dropzones”) und anschließend von dort heruntergeladen.

Auf dem Schwarzmarkt bringen heute Zugangsdaten zu Mailkonten oder Social Media höhere Beträge als Kreditkartendaten samt PIN, wie vergangenen Monat in einem Bericht der RAND Corporation zu lesen war: Bis zu zehn weitere Zugänge eröffnen sich mit einem Log-in-Datendiebstahl. Die Daten können auch für gezieltes Phishing (Spearphishing) bei Verwandten, Freunden oder Kollegen des Opfers eingesetzt werden. Und weil das Opfer einen Missbrauch nicht sogleich bemerkt, bleiben die Daten länger nutzbar.

[Mit Material von Don Reisinger, CNET.com]