Hacker nutzen Sicherheitslücken aus
Lellouche berichtet. Dass Unbekannte seinen PSN-Account trotz eines komplexen Passworts und aktivierter Zwei-Faktor-Authentifizierung (2FA) kompromittierten. Der Täter änderte E-Mail-Adresse, sicherte sich Zugang zum Konto und nutzte es für den Einkauf von digitalem Geld, das später bei PayPal detailliert aufgelistet wurde.
Wiederholte Übernahmen trotz Support-Hilfen
Nachdem Lellouche durch den Sony-Support sein Konto wiedererlangte, gelang es dem Hacker erneut. Dieses Muster zeigt, dass die Sicherheitsmaßnahmen nicht ausreichen um den Zugriff dauerhaft zu verhindern. Laut Lellouche lag der Grund nicht in schwacher E-Mail-Absicherung oder einem Einzelfehler, allerdings in einer Schwachstelle innerhalb der Support-Richtlinien von Sony.
Sicherheitslücken durch Support-Richtlinien
Der Hacker manipulierte die Support-Interaktion basierend auf einer Transaktions-ID die er auf einem Foto entdeckt hatte. Diese ID ist normalerweise ein Beweis für Käufe und Erstattungen. Durch die Verwendung dieses Beweismaterials überzeugte der Angreifer die Support-Mitarbeiter, dass er der Kontoinhaber sei. Überraschenderweise lösten wiederholte Identitätsprüfungen keine Warnsignale aus.
Öffentlich geteilte Daten erleichtern Angriffe
Dem Bericht zufolge stellen öffentlich zugängliche Informationen wie E-Mail-Adressen, Transaktions-IDs und sogar Fotos eine potenzielle Schwachstelle dar. Viele Nutzer teilen solche Details unbedacht in sozialen Medien. Angreifer sammeln gezielt derartige Materialien um bei Support-Anfragen vorgeben zu können die tatsächlichen Eigentümer zu sein.
Kritik an Sonys Sicherheitsmaßnahmen
Dass solche Übernahmen mehrfach gelungen sind, deutet auf systematische Schwächen hin. Bereits im Jahr 2011 riss ein Hackerangriff das PlayStation Network 23 Tage lang lahm und schädigte das Ansehen des Unternehmens erheblich. Trotz Verbesserungen beim Anmeldeschutz und der Aufforderung zur Aktivierung von 2FA bleibt die Sicherheitslage angreifbar.
Noch keine offizielle Stellungnahme von Sony
Bislang hat Sony öffentlich keine Reaktion auf den Vorfall abgegeben. Es bleibt unklar, ob Änderungen an der Identitätsüberprüfung geplant sind oder wie weit die Problematik bei anderen Nutzern verbreitet ist. Bei mehreren Kontenübernahmen, bei denen angeblich unterschiedliche Support-Mitarbeiter eingeschaltet waren, scheint das Problem systematischer Natur.
Schwachstellen im Überprüfungsprozess
Der Fall macht deutlich, dass nicht immer nur der Nutzer das schwächste Glied ist. Vielmehr könnten die internen Überprüfungsprozesse bei Sony unzureichend sein. Wenn diese nicht verschärft werden besteht die Gefahr, dass in Zukunft zusätzlich dazu Konten gehackt werden.
Tipps für weiterhin Kontosicherheit
Nutzer sollten keine Daten in Fotos speichern um sie nicht versehentlich öffentlich zugänglich zu machen. Das Verwenden öffentlicher E-Mail-Adressen sollte vermieden werden. Für die Zahlungsmethode empfiehlt sich die Nutzung von Prepaid-Karten. Bei wiederholtem fehlendem Zugriff ist die Frustration groß und der Verlust von Geld noch gravierender.
Kommentare
: Überprüfungssysteme dringend verbessern
Sobald Sony die Prozeduren zur Kontoverifizierung verschärft, lässt sich die Gefahr verringern. Solange dies nicht erfolgt, sind potenziell viele Nutzer von ähnlichen Angriffen betroffen – eine Entwicklung die dringend Aufmerksamkeit erfordert.