Zugriff auf Kontodaten möglich
Sicherheitslücke bei Ebay

Im Online-Auktionshaus Ebay befindet sich ein Sicherheitsloch, das Angreifer zum Ausspähen fremder Ebay-Kontodaten missbrauchen können. Um Opfer eines solchen Angriffs zu werden, muss lediglich eine entsprechend präparierte Ebay-Auktion im Browser geöffnet werden.
  • 0

BERLIN. Um das Sicherheitsloch auszunutzen, stellt der Angreifer eine Auktion in Ebay ein und integriert darin eine präparierte Flash-Animation. Sobald sich ein angemeldetes Ebay-Mitglied die betreffende Auktion ansieht, kann der Angreifer dessen Kontodaten über Cross-Site-Scripting einsehen, berichtet das Portal „Falle-Internet.de“. Damit erhält er Zugriff auf alle Daten unter „Mein eBay“, die eigentlich nur für den angemeldeten Nutzer einsehbar sein sollten. Das Opfer soll davon nichts bemerken.

Durch das Sicherheitsleck erhalten Unbefugte Zugriff auf den Namen sowie die Anschrift des Ebay-Nutzers einschließlich seiner E-Mail-Adresse. Immerhin sind alle Bank- und Kreditkartendaten teilweise unkenntlich gemacht, so dass sich diese so nicht ohne weiteres ausspionieren lassen. Darüber hinaus kann der Unbefugte aber die Kennwort-Sicherheitsabfrage einsehen sowie alle zurückliegenden und zu beobachtende Auktionen betrachten. Auch der Zugriff auf alle Mitteilungen im Bereich „Meine Nachrichten“ sind dadurch ungeschützt.

Diese vertraulichen Informationen können dazu genutzt werden, um jemandem gefälschte Angebote zu unterbreiten. Dabei helfen die korrekten Informationen über das Opfer, die entsprechenden Informationen als vertrauenswürdig wirken zu lassen.

Nach Angaben von Falle-Internet.de wurde Ebay Mitte Dezember 2007 auf die Probleme hingewiesen, ohne dass diese seitdem beseitigt wurden. Derzeit können sich eBay-Kunden nur gegen solche Angriffe schützen, indem sie das Flash-Plug-In deinstalliert oder die JavaScript- und ActiveX-Funktionen im Browser deaktiviert werden. Ohne aktiviertes JavaScript bzw. ActiveX lassen sich die wesentlichen Funktionen von Ebay allerdings nicht mehr nutzen. Und ohne Flash-Plug-In lassen sich zahlreiche andere Webseiten nicht mehr anzeigen, so dass der Nutzer dann erhebliche Komforteinbußen zu verzeichnen hat.

Ebay bestätigt in einer Stellungnahme, dass mittels JavaScript oder Flash Schadsoftware erzeugt werden kann. Der Einsatz solcher Schadsoftware habe aber „keine praktische Relevanz“ auf Ebay. Zudem sei die Nutzung von JavaScript oder Flash Mitgliedern des PowerSeller-Programms, geprüften Mitglieder, verifizierten PayPal-Mitglieder und Ebay-Mitgliedern vorbehalten, die länger als 500 Tage bei Ebay angemeldet sind und mehr als 500 Bewertungspunkte aufweisen. Dabei handle es sich um besonders vertrauenswürdige Ebay-Mitglieder bei denen nahezu ausgeschlossen sei, dass sie Ebay in einer solch missbräuchlichen Art und Weise nutzen.

Zudem setzt Ebay nach eigenen Angaben zusätzliche Schutzmaßnahmen ein, um entsprechende Schadsoftware zu erkennen und solche Angebote aus dem Marktplatz zu entfernen.



Kommentare zu " Zugriff auf Kontodaten möglich: Sicherheitslücke bei Ebay"

Alle Kommentare

Dieser Beitrag kann nicht mehr kommentiert werden. Sie können wochentags von 8 bis 18 Uhr kommentieren, wenn Sie angemeldeter Handelsblatt-Online-Leser sind. Die Inhalte sind bis zu sieben Tage nach Erscheinen kommentierbar.

Serviceangebote
Zur Startseite
-0%1%2%3%4%5%6%7%8%9%10%11%12%13%14%15%16%17%18%19%20%21%22%23%24%25%26%27%28%29%30%31%32%33%34%35%36%37%38%39%40%41%42%43%44%45%46%47%48%49%50%51%52%53%54%55%56%57%58%59%60%61%62%63%64%65%66%67%68%69%70%71%72%73%74%75%76%77%78%79%80%81%82%83%84%85%86%87%88%89%90%91%92%93%94%95%96%97%98%99%100%