Please upgrade your browser for the best possible experience.

Chrome Firefox Internet Explorer
×

Benutzerkonto gehackt trotz Sicherheitstoken

STAR WARS: The Old Republic > Deutsch (German) > Kundendienst
Benutzerkonto gehackt trotz Sicherheitstoken
First BioWare Post First BioWare Post

Cokoyaga's Avatar


Cokoyaga
04.26.2013 , 09:46 AM | #1
Hallo,

heute Mittag (26.4.2013) bekam ich eine Standard-email von bioware-swtor, in der mir angekündigt wurde, dass mein Passwort zurückgesetzt werden sollte.

Da ich dies nicht veranlasst habe, habe ich mich an den telefonischen Kundendienst gewandt.

In dem Gespräch mit der Mitarbeiterin (MA) stellte sich heraus, dass sich mit einer Taiwanesischen IP in meinen
Account eingeloggt wurde, trotz meines Sicherheitstokens per Smartphone.
Die MA konnte sich das nicht erklären. (Ich übrigens auch nicht!)

Da anscheinend an meinen Charakteren, Kartellmünzen, Credits und Gegenständen etc. keinerlei Veränderungen feststellbar waren, ging meine Frage (als vermutlich vorletzter Abonnementkunde der ersten Stunden (bis heute 15 Uhr) hin zur Sicherheit meiner Kontoinformationen insbesondere der Kreditkarteninformationen.

Dies konnte mir die Mitarbeiterin (MA) nicht sagen, da zu dem Zeitpunkt weder ich, noch sie, auf meinen Zahlungsverlauf und auch alle weiteren, mein Abonnement betreffenden Optionen zugreifen konnte.
Mit Müh und Not haben wir es noch "geschafft" das Passwort zu ändern. (Das war dem Hacker vorher zwar
auch egal, samt Sicherheitstoken, aber ein bisschen Aktionismus schadet ja nicht.)

(Soooo, ab jetzt wirds ärgerlich)

Die MA bat mich daraufhin, ich sollte später am nachmittag noch mal anrufen, da die Kollegen aus der
"Fachabteilung" gerade in der Mittagspause sind und die sicher noch Fragen an mich haben.

Ich: "Wenn die Fragen an mich haben, können die mich gerne anrufen, ihr habt ja alle Nummern und ich habe keine Lust noch mal 30 min. in der Warteschleife zu hängen, ausserdem zahl bislang ich die Telefonrechnung
und es klingt so, als hättet ihr hier das größere Problem!"

MA: "Ach, nachmittags ist meist nix los, da geht das ganz schnell, die rufen alle immer gleich nach 13 Uhr an, ab
15 Uhr gibts kaum Warteschleifen mehr" (Die Diskussion ging noch 2-3 Runden hin und her bis ich aufgegeben habe)

Da mein eigenes Problem zu dem Zeitpunkt kein bisschen gelöst war, hab ich tatsächlich eine Stunde später wieder angerufen. (Zwischenzeitlich, mehre Telefonate geführt um alte Kreditkarte zu sperren und Neue zu beantragen, ebenfalls alles natürlich auf meine Rechnung)

Eine andere MA wollte mich nach durchlesen meines Tickets ebenfalls "dringend" an die "Fachabteilung" weiterleiten, ich solle unbedingt am Telefon bleiben, "es wird nur gaaaanz kurz dauern, bitte nicht auflegen!"

kurzum: Nach 45 Min. in der Warteschleife hab ich aufgelegt!!! (Thema Telefonrechnung hatten wir ja schon mal!)
Die Zeit hab ich mir vertrieben indem ich mein Abonnement gekündigt habe (ging zu dem Zeitpunkt wieder), falls der Hacker meine (alten) Kreditkarteninfos nun hat oder nicht ist mittlerweile ja auch egal.

(Sooooo, jetzts wirds emotional!)

- So wie es aussieht, ist euer Sicherheitstoken NICHT sicher!!! Der Rest anscheinend auch nicht.

Bei mir in der Firma, wäre jetzt Alarm! NIEMAND käme jetzt auf die Idee, es dem Kunden zu überlassen,
nach der Mittagspause der "Fachabteilung", die "Fachabteilung" selbst zu informieren!!
Aber hey! Was soll´s, geht ja schließlich nur um MEINE Konto-, Kreditkarteninformationen und nicht um die
von EA, Bioware, Lucasarts oder sonst wem! (InGame Items, Credits etc. sind mir wirklich sowas von egal!)

- Für was zum Teufel sammelt ihr meine privaten Daten, wenn ihr euch wehrt, wie ebenjener gegen das Weihwasser, sie auch zu benutzen, wenn es endlich mal mehr als berechtigt ist!?? (Stichwort: Rückruf)


Ich für meinen Teil werde definitv nicht nochmal den Hörer in die Hand nehmen um euch anzurufen.
Diesen "Beitrag" musste ich schreiben um nach ca. 3 Stunden (sinnlosen) Aufwand nicht zu platzen.

Meine Probleme hab ich mittlerweile selbst konsequent gelöst.

Wenn ihr immer noch "dringende" Fragen an mich habt, dann wisst ihr, wie ihr mich erreichen könnt.
Gleich vorweg: Eine "E-mail Freundschaft" werde ich sicher nicht anfangen! Also ruft an, oder lasst es!

Und damit der arme MA, der sich nun um meinen Beitrag kümmern muss auch alles schön nachvollziehen kann,
hier die Ticketnummer: 8760758

Kinraven's Avatar


Kinraven
04.26.2013 , 10:15 AM | #2
Zuerst einmal: Ich behaupte im folgenden nicht, dass deine Geschichte nicht stimmt! Das möchte ich direkt klarstellen! Wenn du das so sagst, stelle ich das erst einmal nicht in Frage!

Aber erlaube mir ein paar (hoffentlich konstruktive) Anmerkungen, auch wenn du deinen Text wohl an den Support und nicht an die Community gerichtet hast, vielleicht nimmt der eine oder andere Punkt dir ein bisschen deiner Sorge:

- Normalerweise gelten diese Token (ob jetzt hier oder bei WoW) als sehr sicher, daher bin ich wirklich verwundert, dass es scheinbar möglich ist, diese doch zu hacken. Ich habe die technischen Hintergründe dafür mal gelesen, mangels technischer Begabung aber wieder vergessen- es erschien mir jedenfalls logisch, warum die Dinger so sicher sind.

- du solltest dir keine allzugroßen Sorgen um deine persönlichen Daten machen, insbesondere Kreditkarteninformationen werden nach meinem Wissensstand seperat gespeichert. Selbst ich kann ja über die Accountverwaltung nur wenige Stellen meiner Bankdaten abrufen und nicht die vollständigen Daten einsehen! Es gab vor kurzer Zeit mal den Fall des Servereinbruchs bei Blizzard, wo wohl Benutzerdaten (oder so ähnlich), aber keine Kontoinformationen erbeutet wurden, da diese eben seperat verwahrt werden! Dennoch war die Sperrung der alten Karte natürlich sinnvoll!

- die Zeit in der Warteschlange kostet dich nichts, Ende 2011/Anfang 2012 wurde ein Gesetz erlassen, dass Warteschlangen"abzocke" verbietet. Sollte die Zeit dir wider Erwarten dennoch in Rechnung gestellt werden, wäre das mMn illegal.

- beschreibst du eine Support"leistung", die unter aller Kanone ist, auch wenn die arme Mitarbeiterin natürlich sicher nur eine ungelernte (und wohl auch unbedarfte) Telefonistin war, ist dein Ärger verständlich! Daher wäre eine Stellungnahme in gelb wünschenswert, nicht nur zum Problem und der Accountsicherheit an sich, sondern auch zu der miserablen Leitung des Telefonsupport gegenüber einem Abonnenten!
Mal über Mitspieler ausheulen? Hier entlang!

Allistai's Avatar


Allistai
04.26.2013 , 10:43 AM | #3
Ich habe da mal so ein bis drei Fragen an den Te .

1) wie kommst du darauf das es am Token liegt das dein Benutzerkonto gehackt wurde ?
2) hast du deinen PC oder Laptop mal auf Trojaner untersuchen lassen ?
3) hast du eine Antivirensoftware und eine Firewall ?

Server: Vanjervalis Chain und PTS

LaifStail's Avatar


LaifStail
04.26.2013 , 10:52 AM | #4
4) ist es ein physisches Token oder die App ?
5) wenn App, auch die richtige geladen oder evtl. doch eine manipulierte ?
6) App auf Smartphone oder über Android-Emu in Benutzung ?
Genervt von Themen mit 3-stelliger Seitenanzahl?
Benutzerkonto-Verwaltung -> Foren-Optionen -> Anzeige von Beiträgen pro Seite auf 40 stellen!

Ist mein PC fit für SW:ToR? >> Klick mich! <<

Cokoyaga's Avatar


Cokoyaga
04.26.2013 , 10:53 AM | #5
Du kannst dir sehr sicher sein, dass ich die Geschichte nicht erfinde. Ich seh darin auch keinen Nutzen wenn ich das täte!?

Mit der Telefonrechnung hast du insofern Recht, da es sich bei der support Hotline nicht um eine 0180er
Nummer handelt, sondern ne normale Kölner Vorwahl ist. Egal was es mich nun kosten wird, noch mehr
ärgern mich die 3 Stunden verlorene Lebenszeit. Bin nun ja auch schon ü30, da bleibt nicht mehr soviel übrig!

Geschrieben habe ich den Beitrag, weil ich den "Support" nicht erreiche, bzw. ich mich vom Support verar... veräppelt vorkomme und mir die Information der Community zur (aktuellen?) "Sicherheit" des Tokens wichtig war.

Da mir mein damaliger WoW-Account (lief das noch auf C64?) ebenfalls mal gehackt worden war, habe ich seitdem immer mit Sicherheitstoken "gearbeitet". Bei SWTOR seit der ersten Minute.

Zuerst wollte ich die Kontobewegungen auf meiner Kreditkarte nur beobachten lassen. Aber sobald du der Bank
nur Bedenken bezüglich der Sicherheit äußerst, bzw. den Grund nennst, warum du sie beobachten lassen möchtest, ist es aus und du bekommst ne Neue.

Sicherlich sind Kreditkarteninformationen noch mal EXTRASICHER abgelegt, es vergeht aber auch kaum ne
Woche ohne Meldung zu massenhaften Kreditkarten-Datenklau im www.
Und bis heute 12:17 Uhr dachte ich ebenfalls an die absolute Sicherheit von Sicherheitstokens.

Nichts liegt mir ferner als die MA´s zu beschimpfen, zu verunglimpfen oder ihnen sonst wie die Schuld in die
Schuhe zu schieben. -> Der Fisch stinkt immer erst am Kopf!
Vermutlich sind es interne Dienstanweisungen die sie zu dieser Vorgehensweise nötigen?
Mal sehen, was ein "Offizieller" dazu sagt.

Cokoyaga's Avatar


Cokoyaga
04.26.2013 , 11:08 AM | #6
Zu den Fragen:

1. Ich sagte nicht WEGEN dem Token, sondern TROTZ Token
2. + 3. Selbstverständlich!!! Und die werden auch in kurzen Abständen aktualisiert, upgedated, durchgeführt, erneuert
und was man sonst noch so alles mit diesen Programmen machen kann.
4. + 5. + 6. Es ist die App fürs Iphone. War seit dem ersten Monat des Release Abonnent und habe den Token
auch zum erstmöglichen Zeitpunkt genutzt. Da es in dieser langen Zeit, bis heute, keine Probleme gab, gehe ich davon aus, dass es der Richtige ist.

Allistai's Avatar


Allistai
04.26.2013 , 11:11 AM | #7
wie sieht es mit deinen Iphone aus hast du das auch mal auf Trojaner gescannt ?

Server: Vanjervalis Chain und PTS

RandyTheSalo's Avatar


RandyTheSalo
04.26.2013 , 11:30 AM | #8
Also erstmal, das Passwort zurücksetzen geht ganz einfach. Du gehts auf passwort vergessen, trägst den Namen eines X-Beliebigen Typen in diesem forum ein und schon kriegt der ne Mail. Soweit also nichts verdächtiges.

So nun zum eigentlichen Problem: Die Tokens sind tatsächlich extrem sicher. Durch die Einberechnung der Seriennummer und Zeit in den Key ist es wirklich extrem unwahrscheinlich das zu hacken ohne Zugang zum Token zu haben.

Zumal richtige Hacker nur ganz ganz selten in Taiwan sondern meistens in China sitzen.

Das bedeutet das es entweder tatsächlich Brute Force und Pech war, was aber das Passwort nicht erklärt, oder das du ganz schön abgehört wirst.


Dazu 1 Fragen: Hast du deine E-Mails auch auf dem Handy auf dem du das Token hast?

Wenn ja dann würde ich das dringend mal untersuchen lassen, es ist so gut wie ausgeschlossen das jemand ohne Zugang zu E-Mail UND Token in deinen Account kommt. Wenn du beides auf dem Handy hast ist es aber für einen echten Hacker denkbar einfach.

Viele Hacker können Handies so Hijacken das sie die kontrollieren können, oder einen "Klon" erschaffen der sowohl deine Emails als auch deine Tokens empfängt. Dann muss er nur dein password zurücksetzen, was er dank Zugang zu deinen Emails kann, den geklonten Token nutzen und schon ist er drin. Deshalb würde ich immer einen physikalischen Token benutzen, und E-Mails sowieso nicht auf dem Handy haben.

Das einzige was du in diesem Fall tatsächlich tun kannst ist eine neue E-Mail Adresse zu nehmen, den Token zu entfernen und einen anderen zu benutzen, und dein Handy untersuchen zu lassen, denn auch wenn du das Handy desinfiziert bekommst kann der Hacker durch einen Klon trotzdem zu beidem noch Zugang haben.

Das es die SChuld von Bioware oder so ist ist aber auszuschließen.

DarthVoldi's Avatar


DarthVoldi
04.26.2013 , 12:07 PM | #9
Hallo,

Ich will Dir und andere nix unterstellen aber zu 99% sind es eure Fehler warum der Account gehackt wird. Siehe die Goldseller man kauft sich bei denen zum Beispiel Credits. Der Haken ist nur sobald man eine HP von denen besucht ist man praktisch schon sein Account los, weil die meisten Virenscanner deren Keylogger und Trojaner gar nicht erkennen.
Ich rate daher ab sich leichtfertig mit diesen Leuten abzugeben. Und erst Recht keine Anhänge von denen zu öffnen oder allgemein Anhänge die man nicht kennt. Selbst wenn mein Provider mich anschreibt wo ein Anhang dabei ist rühre ich den nicht an und Rufe dort an.

In deinem Fall würde ich erstmal Format C machen und im Anschluss sämtliche Passwörter ändern. Vorher hat das kein Sinn. Und die jetzigen Daten wie Bilder und so weiter auch nicht sichern. Nix davon behalten denn man weiß nicht wo der sitzt und selbst wenn wer weiß wo das Teil noch drin sitzt.

Cokoyaga's Avatar


Cokoyaga
04.26.2013 , 12:31 PM | #10
Also ich habe eben knapp 2 Stunden im i-net zum Thema Iphone und Trojaner, Malware etc. verbracht.

Natürlich, nichts ist unmöglich, aber wenn ich das mal so zusammenfassen darf:
Die Wahrscheinlichkeit im Lotto zu gewinnen ist 10mal größer, mindestens. Es sind Lottogewinner
bekannt. Derzeit gibt es aber keinen bekannten Schädling für Mac, Iphone etc. (aktuelle Software vorausgesetzt).

Wenn es nun doch so sein sollte, dass sich jemand diesen unglaublichen Aufwand und unfassbare Mühe
macht, einen Schädling für Mac OS X, iOS etc. zu entwickeln um mir evtl. mein Lichtschwert zu klauen,
dann darf er es gern behalten, vorausgesetzt er gibt den Schädling meinen Namen!

Bitte jezz kein Win gg. Apple/Mac/Iphone Sicherheits geflame. Zu dem Thema kann jeder selbst gern einmal ein paar Stunden im inet googeln und sich dann meinetwegen bei facebook auskotzen.

Jezz aber mal wieder etwas ernster.

Habe in der Tat seit letzter Woche die Möglichkeit, emails auf dem iphone zu empfangen. Habe am selben
Tag aber auch meine kompletten Zugangsdaten und Passwörter fürs Internet, email Account (alles Telekom) etc. zurücksetzen lassen.
Ebenfalls sind ausnahmslos alle technischen Geräte auf den neuesten Softwarestand.

Noch mal Zusammengefasst: Alles (email, token, etc.) läuft über iMac oder Iphone, gezockt wird auf nen
blanken Windows Notebook das sonst nix kann.


PS: Ich habe weder Feinde in China oder Taiwan, mein Beruf und meine Betriebsgeheimnisse nützen wirklich niemanden, nicht mal mir selbst. Ich bin ebenso verfassungstreu und überhaupt der liebenswürdigste Mensch
Mittel- und Südeuropas. Wer mich also abhören sollte, hat sich vermutlich verwählt.