VERANSTALTUNGEN

IT-Sourcing 2018
03.09.18 - 04.09.18
In Hamburg

DILK 2018
17.09.18 - 19.09.18
In Düsseldorf

abas Global Conference
20.09.18 - 21.09.18
In Karlsruhe

it-sa 2018
09.10.18 - 11.10.18
In Nürnberg

Digital Marketing 4Heroes Conference
16.10.18 - 16.10.18
In Wien und München

Reddit

Quelle: Tero Vesalainen / Shutterstock.com

Der Social-News-Aggregator Reddit setzt für seine Mitarbeiter auf eine Zwei-Faktor-Authentifizierung, die eigentlich unerwünschte Eindringlinge aussperren soll. Leider war diese Maßnahme nicht erfolgreich und so konnten Hacker in die Datenbanken eindringen und Nutzerdaten aus der Anfangszeit der Webseite erbeuten.

Der Social-News-Aggregator Reddit zählt mit mehr als 330 Millionen Besuchern im Monat laut CNBC zu den fünf weltweit beliebtesten Webseiten im Internet. Seit der Gründung im Jahr 2005 teilen und bewerten immer mehr Nutzer Inhalte auf der Seite und diskutieren über die verschiedensten Themen in sogenannten Subreddits. Bei der Menge an Daten, die dabei aufläuft, ist es kein Wunder, dass Reddit im Laufe der Zeit als lohnendes Ziel in den Fokus von Kriminellen geraten ist. Das Unternehmen selbst ist sich dessen auch durchaus bewusst. Erst kürzlich wurde ein neuer Sicherheitschef eingestellt und aktuell sind weitere Stellen in diesem Bereich ausgeschrieben. Darüber hinaus setzt das Unternehmen für seine Mitarbeiter auf eine Zwei-Faktor-Authentifizierung, die eigentlich unerwünschte Eindringlinge aussperren soll. Leider hat diese Maßnahme nicht gegriffen und so konnten Mitte Juni Hacker in die Datenbanken von Reddit eindringen und Nutzerdaten aus der Anfangszeit der Webseite erbeuten.

Interessant ist dabei insbesondere die Art und Weise, wie die Kriminellen vorgegangen sind, denn eine Zwei-Faktor-Authentifizierung gilt eigentlich als relativ sichere Methode, um Hackern das Leben schwer zu machen. Dieser Meinung war man auch bei Reddit, allerdings setzte das Unternehmen auf SMS-Nachrichten bei der Authentifizierung der Mitarbeiter. Um sich Zugang zu den internen Netzwerken zu verschaffen, mussten die Kriminellen also sowohl das Passwort als auch den Code in der SMS des jeweiligen Mitarbeiters eingeben. Nachdem sie auf bislang nicht näher beschriebenen Wegen das Passwort erbeutet hatten, brauchten sie also noch den Code als zweiten Faktor, um sich einzuloggen. Den erhielten sie, indem sie sich eine Kopie der SIM-Karte des Mitarbeiters mit derselben Nummer beschafften. So konnten sie die SMS abfangen. An eine Kopie einer SIM-Karte zu gelangen ist im Übrigen gar nicht so kompliziert. Manchmal reicht schon ein Anruf beim Anbieter, dass die SIM-Karte kaputt sei und man eine neue brauche. Zwar muss man sich dann legitimieren, aber viele Menschen geben die dafür relevanten Informationen wie Geburtstag, Name des Haustiers oder ähnliches ganz öffentlich im Internet preis.

Im Fall von Reddit erbeuteten die Eindringlinge eine komplette Kopie der Datenbank aus den Jahren 2005 bis 2007 inklusive E-Mail-Adressen und Anmeldedaten. Auch einige E-Mails, die zwischen dem 3. und dem 17. Juni 2018 über die Plattform verschickt wurden, sollen den Hackern in die Hände gefallen sein. Die betroffenen Nutzer kontaktiert Reddit in persönlichen Nachrichten oder über die hinterlegten E-Mail-Adressen und empfiehlt, die Passwörter schnellstmöglich zu ändern. Außerdem wurde der Vorfall an die zuständigen Strafverfolgungsbehörden gemeldet. Für die Zukunft zieht Reddit Konsequenzen aus dem Vorfall und wird die Zwei-Faktor-Authentifizierung vom SMS-basierten auf ein Token-basiertes Verfahren umstellen. Ein solches hat auch der Internetriese Google eingeführt. Hier gab es laut Unternehmensangaben seither keine Sicherheitsvorfälle mit Phishing oder ähnlichen Betrugsmaschen mehr.

www.8com.de
 

GRID LIST
Bitcoin

Bitcoin unter 6.000 Dollar gefallen

Die Bitcoin ist in den frühen Morgenstunden auf unter 6.000 Dollar gefallen und lag…
Investment Series D

Exabeam erhält 50 Millionen Dollar mit neuer Finanzierungsrunde

Exabeam, ein Hersteller von Lösungen für Security Intelligence und Management (SIEM), hat…
Hand mit Maus treibt Flugzeug an

Kooperation von Mindtree und Lufthansa: Flugbuchung direkt auf Drittseiten

Der Software-Dienstleister Mindtree erweitert Lufthansas Open API um Buchungsfunktion.
Ein neues Fenster in der Wrike Desktop-App öffnen.  (Copyright Wrike)

Wrike stellt neue Desktop-App vor

Wrike, ein Experte für Arbeitsmanagement, stellt eine neue Desktop-Anwendung vor, die ein…
Smartphone

Gefährliche Sicherheitslücken in Tracker-Apps

Viele Tracker-Apps, mit denen beispielsweise Eltern ihre Kinder orten können, haben…
Gesundheitswesen

Fälschung medizinischer Daten leichter als erwartet

Das Advanced-Threat-Forschungsteam von McAfee hat auf der Defcon Hacking-Konferenz, die…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security