Gawker User-Accounts gehackt!

Wer mit dem Namen Gawker nichts anfangen kann, der kennt vielleicht eher deren Medien Lifehacker, Gizmodo, Jezebel, io9, Jalopnik, Kotaku, Deadspin oder Fleshbot. Die hinter diesen Webseiten stehende Datenbank wurde am Sonntag gehackt und 1,3 Millionen Accounts inklusive Usernamen, Mailadressen und Passwörter sind via Torrent frei verfügbar. Are you mad?

Wer genau hinter der Attacke steht, ist bis jetzt noch nicht klar. Einige Quellen munkeln, dass Anhänger von 4Chan verantwortlich dafür sind, weil über Blogs von Gawker immer wieder Kritik an dem unzensierten Image-Board geübte wurde. Wie dem auch sei, interessant ist eher, wie schwach es um die Sicherheit bei Gawker steht. Abgesehen davon, dass die Liste an Mailadressen für Spammer wie geschaffen ist, kann auch der Salt-lose MD5-Hash des Passworts dank Rainbow-Tables geknackt werden. Und genau das wurde auch schon für einige Passwörter gemacht, die nun in diversen Torrents zum Download stehen. Der Schaden der Veröffentlichung ist beträchtlich, da nun diejenigen User, die Accountnamen bzw. Mailadressen und Passwörter öfters verwenden, überall das Passwort wechseln müssen. Der erste Spam-Ansturm auf Twitter durch übernommene Accounts soll bereits gestern stattgefunden haben. Weitere werden garantiert folgen.

Erwähnenswert ist ebenso die Tatsache, dass auch der Source Code des CMS von Gawker veröffentlicht wurde. Dabei kommt aber nicht nur Schadenfreude auf, sondern auch Bedenken über die Entscheidung, dort zukünftig einen Account zu behalten. Nun fällt nämlich die "Security through obscurity" weg und alle Sicherheitslücken der Software werden deutlich einfacher auffindbar. Ganz in diesem Sinne raten wir auch zur Vorsicht bei der Wahl eures nächsten Passworts bzw. benutzten Mailadresse auf Gawker-Plattformen. Und falls es jemand sucht ... nein, es gibt noch keine Funktion, um seinen User-Account zu löschen. Daran soll aber derzeit gearbeitet werden.

Falls jemand von euch wissen will, ob sein Passwort entschlüsselt wurde, gibt es einen Google Fusion Table, der diese Accounts inklusive Domain der verwendeten Mailadresse enthält. Per View -> Filter könnt ihr überprüfen, ob euer Account-Passwort als Klartext im Torrent-File steht. Eure Passwörter solltet ihr dennoch in jedem Fall wechseln!

Links: Table mit entschlüsselten Account-Passwörtern | offizielles FAQ von Gawker | Torrent

» Beitrag diskutieren (25 Kommentare)