News Hackerangriff: Mindfactory informiert über möglichen Datendiebstahl

[CruellaDE]

Was macht man eigentlich, wenn demnächst auch noch Passwort-Manager gehackt werden? Wieder auf lokales Keepass umsteigen?

 

[Volker]

Da sagt heise leise scheise

Der ist leider geil
Gleich mal heise security melden!!

 

[MGFirewater]

Sollte man trotzdem seine Passwörter ändern?

Sie haben dein PW gesperrt siehe den Infotext.
Wenn du ein aktives Kundenkonto hast bekommst du per PW vergessen ein automatisches zugewiesen. Dieses ist aber sehr kurz ( war so in meinem Fall ) damit meldest du dich an. Reaktivierst deinen Account und vergibst ein neues Passwort.

 

[Iwwazwersch]

Was macht man eigentlich, wenn demnächst auch noch Passwort-Manager gehackt werden? Wieder auf lokales Keepass umsteigen?

Was heißt wieder? Way to go

Ergänzung (Freitag um 21:28)

Dachte zuerst wäre Scam, so wie der Absender angegeben war

 

[Tanzmusikus]

Keine Mail bekommen. Vorsichtshalber Passwort geändert. Bestätigungsmail bekommen. Jetzt geht keine Anmeldung mehr.

Bei mir:

1. Keine E-Mail seit Sommer 2023 bekommen
2. Passwort-Reset versucht - keine Bestätigung per E-Mail bekommen
3. Anmeldung geht also nicht - Registrierung auch nicht.

R.I.P Mindfactory

 

[TeeKayEV]

Natürlich bin ich weder Systemadministrator noch Jurist

Ja, das ist das Problem. Denk mal selbst drüber nach, wie ein Onlineshop funktionieren soll, bei dem keine Daten im Internet hängen. Verschlüsselung kannst du auch vergessen, weil der Server auf die unverschlüsselten Daten zugreifen können muss, um sie zu verarbeiten. Kommst du auf den Server, kommst du auch an die Daten.

Die Mehrheit der Teilnehmer in dieser Diskussion argumentiert so herzerfrischend populistisch und völlig losgelöst von jedweder Expertise und Fakten. Die hier geäußerten Forderungen laufen in letzter Konsequenz darauf hinaus, dass es außer Großkonzernen wie Amazon keine Datenverarbeiter mehr geben wird, weil das finanzielle Risiko der Datenverarbeitung für jeden ohne Milliardenbilanz einfach zu groß wäre. Sicherer würde es dadurch für die Daten aber nicht - weil es keine zu 100% sichere Software und Systeme gibt. Und wer dann die Systeme der wenigen verbliebenen Großanbieter knackt, hat gleich Zugriff auf viel mehr Daten, als sie bei irgendeinem kleinen Onlineshop je vorlägen.

 

[Tanzmusikus]

Ändere das Passwort oder lösche den Account und gut ist, denn du brauchst diesen nur wenn du was bestellst bis alles ausgeliefert wurde.

Es gehen dabei aber evtl. die Möglichkeiten für Rücksendung bei Widerruf, Gewährleistung oder ggf. Garantieansprüche verloren.

 

[Petoschka]

Zum Glück ist nur xyz betroffen. Den konnte ich noch nie leiden.

 

[Pyrukar]

Ja, das ist das Problem. Denk mal selbst drüber nach, wie ein Onlineshop funktionieren soll, bei dem keine Daten im Internet hängen. Verschlüsselung kannst du auch vergessen, weil der Server auf die unverschlüsselten Daten zugreifen können muss, um sie zu verarbeiten. Kommst du auf den Server, kommst du auch an die Daten.

Wow ... wenn das so wäre könnte ich ja auch einfach bei Amazon reinspazieren und deine Nutzerdaten abgreifen. Natürlich müssen Daten eines Onlineshops irgendwo im Internet verarbeitet werden, aber ganz offenlichtlich gibt es Shops die es schaffen die Daten vor unbefugtem Zugriff zu schützen und dann gibt es Shops die das eben nicht ausreichend hinbekommen.
Ich kenne mich zwar mit den Details nicht wirklich aus und das behaupte ich auch gar nicht, aber wenn die Daten wie du behauptest tatsächlich unverschlüsselt irgendwo liegen müssen um verarbeitet zu werden (wovon ich ehrlich gesagt nicht überzeugt bin das das der Wahrheit entspricht) dann muss eben der Zugang zum Server entsprechend abgeriegelt werden dass nur die Systeme, die Zugang zu den Daten haben dürfen auf diesen Server zugreifen können.

Wie gesagt ich sage ja nicht dass grundsätzich jeder datendiebstahl mit Drakonischen Strafen einhergehen soll aber ganz offensichtlich muss man, vor allem bei Unternehmen die bereits einmal opfer eines Datendiebstahls geworden sind hinterfragen ob die nicht Systemische Schwachstellen haben die es Abzustellen gilt oder eben zu bestrafen, wenn sie es nicht ernst nehmen.

 

[xexex]

Ich hatte Mitte 2023 das letzte Mal dort eingekauft (5800X3D).
Komme weder in mein Konto noch funktioniert eine Rücksetzung des Passwortes.

Du hast aber schon mitbekommen, dass MF zwischenzeitlich Pleite gegangen ist und alle Benutzerkonten gelöscht hat? Sorgen müssen sich nur Leute machen, die trotz allem was MF abgezogen hat, sich dort wieder ein Konto angelegt haben.
https://www.computerbase.de/news/wi...t-sanierung-aber-es-laeuft-wieder-rund.91654/

 

[TechnikFan20]

In der E-Mail steht (im Artikel nachzulesen):

Bitte sei vorsichtig bei unerwarteten E-Mails, SMS oder Anrufen, in denen persönliche Informationen abgefragt werden oder du zum Öffnen von Links oder Anhängen aufgefordert wirst.

und weiter unten steht auch:

So vergibst du ein neues Passwort für deinen Shop-Zugang:
1. Wenn du auf den Link klickst erhältst du ein temporäres Passwort per E-Mail zugesendet.

Es wäre gut, wenn man sich an seine eigenen Ratschläge auch selbst hält. Und keine Aufforderung auf einen Link zu klicken einzubauen, wenn man da nicht darf klicken sollen. 🤦‍♂️

 

[DX8]

Passwort-Manager gehackt werden? Wieder auf lokales Keepass umsteigen?

Online Dinger würde ich sowieso nicht verwenden. Aber um das lokale mach ich mir Sorgen, werd dahingehend auch mal bald mit den Entwicklern reden. Will das mindestens auf Level von Veracrypt sehen wollen. Vor allem was AI gestützte Angriffe betrifft.

Ergänzung (Freitag um 22:16)

Dachte zuerst wäre Scam, so wie der Absender angegeben war

Fand ich auch wild, aber bei meinen Email Anbieter war direkt die Authentizität bestätigt.
Aber waren eh Emails zum erwarten, hab keine von denen aus als erstes bekommen.

Ergänzung (Freitag um 22:22)

Rücksendung bei Widerruf, Gewährleistung

Mh, bin mir nicht 100% sicher, aber afaik, reicht für die Gewährleistung nur die Rechnung. Für einen Widerruf das Paket wieder zurück zur Sendungsadresse (auch wenn es vielleicht eigentlich woanders hin muss, wahrscheinlich dann deren Problem, aber müsste man mal prüfen.) Garantie und so was, wohl eher schwieriger ja.

 

[RaptorTP]

heise sollte rein theoretisch bescheid wissen über PHP Sicherheitslücken.
Kann es mir ehrlich gesagt nicht vorstellen. 🤔

 

[Stryker]

Warum bieten die eigentlich kein 2FA an?

 

[Zhenwu]

@Stryker Was genau soll das helfen bzw. beim Datenklau verhindern?

 

[Alexander 65]

Das trifft jetzt wohl alle Seller!
Man braucht ja nur die Nachrichten zu verfolgen.
Hacker sind jetzt unterwegs!
Eigentlich müßten die Hacker ja auf
unserer Seite sein, sagt Anonymous.

Wir sind Anonymous. Wir sind viele. Wir vergeben nicht. Wir vergessen nicht. Erwartet uns!
Hoffentlich helfen Sie bald, denn wir benötigen dringend
HILFE!

 

[Xes]

Ätzend, dass Datenschutz anscheinend absolut keine Relevanz hat.

Aber mal ne richtige Schelle, so heftig, dass sich die anderen das dann 2 Mal überlegen, ob sie so fahrlässig mit Kundendaten umgehen

Ganz schön peinlich für Heise, die „IT-Experten“.

Wie oft ich hochnäsige Inselbegabte Möchtegern ITler in meiner Berufsbahn getroffen habe, die sich ständig über User lustig machten, aber deren allgemein Wissen über IT Themen nahe null lag.

Spannend. Ihr scheint ja wirklich tiefe Einblicke in deren Sicherheitskonzept gehabt zu haben um derartige Aussagen treffen zu können. Könnt ihr mal detailliert darlegen wo genau der fahrlässige und peinliche Pfusch lag und wie man es hätte besser machen können?
Da können wir sicher noch einiges von euch Experten lernen.

Gerade in Zeiten von KI unterstützen Angriffen die teils selbstständig irgendwelche zerodays finden, sollte man sich mit solchen Anschuldigungen mmn. zurückhalten. Derartige Vorfälle werden wir in den nächsten Monaten und Jahren vermutlich noch wesentlich häufiger sehen.

 

[Tanzmusikus]

Du hast aber schon mitbekommen, dass MF zwischenzeitlich Pleite gegangen ist und alle Benutzerkonten gelöscht hat?

Naja, von der Pleite und der darauffolgenden Weiterführung hatte ich hier mal auf CB gelesen.
Von gelöschten Konten wusste ich bis heute nichts.

 

[Whistl0r]

Hier kam die Mail um 22:55 Uhr an.

Das trifft jetzt wohl alle Seller!

Auch wenn es so zu sein scheint, sollte dies niemand akzeptieren.

Ich wünsche mir, dass bei den ganzen Firmen die DSGVO voll zum tragen kommt und sie alle zahlen müssen. Leider sind die zuständigen Landesdatenschutzbehörden zurückgeblieben (da ist kaum jemand mit der DSGVO vertraut) und viel zu gutmütig/gutgläubig.

Insofern sorgen Formulierungen wie

der Schutz deiner persönlichen Daten und das Vertrauen, das du uns entgegenbringst, haben für uns höchste Priorität

zunehmend für Aggressionen bei mir. Das sind nur Worthülsen.

 

[Zhenwu]

Gerade in Zeiten von KI unterstützen Angriffen die teils selbstständig irgendwelche zerodays finden, sollte man sich mit solchen Anschuldigungen mmn. zurückhalten. Derartige Vorfälle werden wir in den nächsten Monaten und Jahren vermutlich noch wesentlich häufiger sehen.

Ist das jetzt der zweite Datenklau innerhalb kurzer Zeit? Im Zusammenhang mit PHP2Shell hat es schon ein klein wenig ein Geschmäckle.

Wieso nutzen die Admins nicht genau diese KI um ihr System zu testen und Lücken zu schließen?