Der Online-Marktplatz
eBay wollte im Kampf gegen den Auktionsbetrug Stärke zeigen. Vor rund einem Monat kündigte das Unternehmen an, zukünftig sogenannte Flash-Cookies, die auf der Festplatte des Nutzers gespeichert werden, für die Authentifizierung als obligatorisch einzuführen (onlinekosten.de
berichtete). Doch wie nun bekannt wurde, ist aus der "neuen Maßnahme zur Erhöhung der Sicherheit" ein desaströser Flop geworden: Trotz der kleinen, lokal gespeicherten Dateien ist der Identitätsklau für Betrüger weiterhin ein leichtes Spiel.
Cookie-Diebstahl leichtgemacht
Die Internetseite falle-internet.de hatte am Donnerstag auf die neue Gefahr aufmerksam gemacht. Das Flash-Objekt, das beim Betreten des Marktplatzes das Cookie setzt, enthält einen gravierenden Programmierfehler. Eigentlich dürften ausschließlich eBay-Seiten und -Skripte Zugriff auf die darin enthaltene Funktion zum Auslesen des Flash-Cookies haben. Eine falsch implementierte Abfrage ermöglicht es aber nahezu jeder Webseite, die eBay-Software zum Cookie-Diebstahl zu verwenden. Einzige Bedingung: Die Adresse der Seite muss wie eBays Login-Seite mit "signin" beginnen.
Benutzername, Passwort und Cookie im Paket
Kriminelle, die auf eBay ihr Unwesen treiben, vertrauen üblicherweise auf
Phishing-Attacken, bei denen Nutzer per E-Mail gebeten werden, sich auf einer gefälschten Anmeldeseite mit Benutzername und Passwort anzumelden. "Die derzeitige Sicherheitslücke ermöglicht es Betrügern, schädlichen Code zum unbefugten Auslesen des eBay-Flash-Cookies direkt auf einer solchen Phishing-Webseite unterzubringen", warnen die Betreiber von falle-internet.de. "So kann gleichzeitig mit den Nutzerdaten der Opfer die eindeutige Kennung ihrer Computer gestohlen werden, die die Nutzung ihrer Mitgliedskonten erlaubt - direkt mit der Hilfe eBays eigener Software."
Um eBay die Dringlichkeit der Gefahr zu verdeutlichen, hat falle-internet.de eine Testseite veröffentlicht, auf der Nutzer den von eBay vergebenen Cookie-Token selbst einsehen können. Dazu loggt man sich zunächst in sein eBay-Konto an und ruft anschließend die Website
http://signin.ueuo.com/lso.html auf (Flash- und Java-Script müssen aktiviert sein). Nach kurzer Zeit erscheint die identifizierende Buchstaben- und Ziffernfolge.
Meldung empfehlen
News
