News Sicherheitslücke bei Nintendo: 160.000 Benutzerkonten kompromittiert

[douggy]

@SV3N wo ist die Sicherheitslücke, von der du in der Überschrift sprichst?

 

[iSight2TheBlind]

@douggy Dass man sich mit einem alten, fast schon vergessenen Account einloggen konnte. Ein Account bei dem die Nutzer wahrscheinlich weniger auf Passwortsicherheit geachtet haben.

 

[Gaspedal]

Verknüpft habe ich Nintendo mit Paypal. Würde da irgendwas laufen, bekomme ich über die Paypal-App sofort ne Benachrichtigung. Alle schimpfen immer über Paypal, aber es hat durchaus seine Vorteile.

Ist aber zum Glück nichts. Mal gucken ob ich evtl. das Passwort ändern muss.

Ich bekomme’ne Code per SMS auf mein Handy wenn man mit Paypal zahlen will. Das ist sicherer.

 

[SVΞN]

@SV3N wo ist die Sicherheitslücke, von der du in der Überschrift sprichst?

@douggy Dass man sich mit einem alten, fast schon vergessenen Account einloggen konnte. Ein Account bei dem die Nutzer wahrscheinlich weniger auf Passwortsicherheit geachtet haben.

Das kann man so nicht sagen, wie auch andere Nutzer hier im Forum wurden für einen meiner zwei Nintendo Account vier Logins aus den USA verzeichnet und ich nutze sichere Passwörter, wenn auch bisher ohne 2FA.

Auch andere Kollegen berichten über Duzende Logins über ihre Accounts.

https://twitter.com/pixelpar/status/1251965308329435137?s=21

Die von mir ausschließlich für meinen Nintendo Account genutzten Passwörter sind komplexe Buchstaben- und Zahlenfolgen mit Sonderzeichen, weshalb ich nicht an Brute Force & Co. glaube.

Ich habe mich bislang über meine alte NNID eingeloggt, wo die meisten Beobachter auch die Schwachstelle sehen.

 

[Reverse]

Zahlungsdaten speichern sollte verboten werden. Wozu braucht ein Händler diese überhaupt? Bequemes bestellen? Ich benutze nur noch Guthabenskarten. Bei der Postbank kann man die Nintendo Karten direkt in deren Portal kaufen, haben andere Banken vielleicht auch.

 

[ovanix]

Ging mir mit Spotify so...Account gemacht, Premium "Testmonat" Aktiviert und 2 Wochen später wurde Passwort und Email geändert (Mail war .fr), der Support konnte mir dann nicht helfen weil ich kein Zahlungsbeleg vorweisen konnte für den Gratis Testmonat den ich nicht bezahlt hab...

Ging mir vor einigen Monaten ebenso, irgendwer hat bei mir bei Spotify meinen Passwort geändert. Und nachdem ich es mit viel Aufwand wieder zurücksetzen konnte, habe ich gefühlt über die Woche verteilt 30-60 Emails bekommen wo jemand krampfhaft versucht hat wieder das Passwort zu ändern. Irgendwann wurde mein Konto gesperrt welches ich mit einem neuen Passwort entsperren könnte, doch das war mir so blöd dass ich das Konto gesperrt gelassen habe.
Da hat Spotify irgendwo einen Leck gehabt welcher wohl unter den Teppich gekehrt wurde.

 

[Gaspedal]

Zahlungsdaten speichern sollte verboten werden. Wozu braucht ein Händler diese überhaupt? Bequemes bestellen? Ich benutze nur noch Guthabenskarten. Bei der Postbank kann man die Nintendo Karten direkt in deren Portal kaufen, haben andere Banken vielleicht auch.

Auch bei Paypal kann man diese kaufen.

 

[iSight2TheBlind]

Zahlungsdaten speichern sollte verboten werden. Wozu braucht ein Händler diese überhaupt?

Hat halt nicht jeder Bock ständig über einen Dritten Guthabenkarten zu kaufen, außerdem binden diese natürlich auch Kapital, denn es gibt im eShop Spiele für 0,99€, die Guthabenkarten fangen aber erst bei 15€ an.
Händler mögen es natürlich wenn direkt eine Zahlungsmöglichkeit hinterlegt ist, die Nutzer mögen es aber noch viel mehr.

 

[Coeckchen]

Ging mir vor einigen Monaten ebenso, irgendwer hat bei mir bei Spotify meinen Passwort geändert. Und nachdem ich es mit viel Aufwand wieder zurücksetzen konnte, habe ich gefühlt über die Woche verteilt 30-60 Emails bekommen wo jemand krampfhaft versucht hat wieder das Passwort zu ändern. Irgendwann wurde mein Konto gesperrt welches ich mit einem neuen Passwort entsperren könnte, doch das war mir so blöd dass ich das Konto gesperrt gelassen habe.
Da hat Spotify irgendwo einen Leck gehabt welcher wohl unter den Teppich gekehrt wurde.

LoL Krass, mein vorfall war vor ca. 3 Jahren.
Aber ich befürchte du hast recht, naja ich bin froh dass es so früh passiert is und nicht erst nach Monaten oder Jahren, so wusst ich gleich wo ich dran bin.

 

[Chismon]

... müsste man weiße Weste definieren.

Mit Blick auf Corona kann ich z.B. nicht fassen, dass niemand über Skype redet. Aktuell kenne ich kaum eine Software die sich weniger meldet, wenn sie auf mehreren Geräten zeitgleich angemeldet ist.

mfg

p.s.

mich hat schon vor Jahren erschreckt, dass ich auf mehreren Systemen zeitgleich mit meinem Skype Account angemeldet sein kann/konnte und das offline logfile tatsächlich auf allen Systemen funktioniert(e). Ob jmd. 3tes zusätzlich auch noch mit dabei ist/war, konnte ich nicht verifizieren

Das macht echt Spaß....im Skype irgend welche sensitive Daten zu posten ist/war echt sportlich

Was Skype angeht, so habe ich den Eindruck, dass man das ein wenig stiefmütterlich momentan behandelt zugunsten von Microsoft Teams.

Im Vergleich zur Konkurrenz sieht selbst bei Skype (eigentlich habe ich mich ja vorwiegend/nur auf Konsolen-Accounts bezogen, aber gut, wenn Du Skype in den Ring wirfst, passt das auch) die Weste relativ weiss aus im Vergleich zum dubiosen Zoom (wo man den Service per Privatsphäre bezahlt und Daten scheinbar an die Höchstbietenden weiter verhökert werden), WeChat (mit Direktanbindung/Verwertung des chinesischen Staates via Tencent) oder WhatsApp (mit Direktanbindung an und Verwertung durch Facebook) etwa.

Das kann ich verstehen, dass Dir der multiple gleichzeitige Login bei Skype nicht kosher ist, aber andererseits ist es benutzerfreundlich .

Ergänzung (27. April 2020)

... habe sicherlich keine rosa Nintendobrille, aber auch abseits der Größenordnung (0,16 Mio. statt 77 Mio. kompromittierte Accounts) ist die Faktenlage mMn nicht die gleiche.

Bei dem aktuellen Nintendo-Fall hatte man schon vor der Sicherheitslücke die Möglichkeit, seinen Account durch Zwei-Faktor-Authentisierung zusätzlich abzusichern.

Diese Möglichkeit hatte Sony seinen Kunden damals nicht geboten, abseits vom Passwort gab es keinerlei optionalen Sicherungsmöglichkeiten. Und auch nach diesem Hack hat sich Sony weiter fünf Jahre Zeit gelassen, um Zwei-Faktor-Authentisierung optional anzubieten.

Meine Kritik bezieht sich nicht auf die 2-Faktor-Authentisierung, sondern, dass es eine solche als letzte Barriere überhaupt braucht bei Nintendo (wie durch Dein "zusätzlich" auch verdeutlicht, nur ist es in diesem Fall wohl eher als "alleinig" zu sehen) und man sich dort ansonsten sicherheitstechnisch scheinbar einen schlanken Fuss macht und das auf den Kunden abwälzt.

Das ist eben bei der Konkurrenz (z.B. Microsoft) m.W. nicht so, dass man da als Hacker so tief eindringen kann.

Nun, das mag damals bei Sony schwerer gewogen haben, aber anscheinend klappt es dort jetzt und man hat scheinbar daraus gelernt und mehr oder besser in die Sicherheit investiert als Nintendo (die da jetzt wohl einen Nachholbedarf haben dürften, was die Absicherung der Nutzerkonten über 2-Faktor-Authentisierung hinaus angeht).

 

[[wege]mini]

aber andererseits ist es benutzerfreundlich .

am Ende geht es immer um den sogenannten goldenen Mittelweg.

Meine ICQ ID habe ich z.b. immer noch im Kopf, kann aber nicht sagen, welche email damals verwendet wurde (wahrscheinlich a@b.com) und wie mein nick war.

so doof ist es auch nicht, dass niemand das PW verändern kann

Wenn es sein muss, mache ich halt dann Hausbesuche, selbst wenn ich nach Australien muss, um meinem Email-Anbieter (seit 20 Jahren operamail) einen Besuch abzustatten, mich persönlich vorzustellen und einfach mal zu schauen, wer denn vor Ort mein Dienstleister ist.

Die Welt ist von meinem Standpunkt aus betrachtet nicht besonders. Weder besonders groß, noch besonders kompliziert. Die Affen überall stören leider.

btt:

160k Konten bei Nintendo....ich denke, der Dreck unter meinen Fingernägeln ist mehr wert^^

mfg

 

[andi_sco]

Das Unternehmen kontaktiere alle betroffenen Nutzer zeitnah per E-Mail

Wenn das wie bei Microsoft und co läuft also in drei Monaten?

 

[BorstiNumberOne]

@Chismon:
Bei Sony war damals ein Netzwerk aus gehackten Heimroutern die Ursache. Viele der Router waren von den Betroffenen zur WAN-Seite hin relativ offen, weil sie mit Passwörtern a la "admin", "1234" oder "0000" versehen waren. Da gab es damals bei Heise einen guten Beitrag. Die Kommentare, welche dann in Richtung VoIP vs. PSTN abdrifteten, waren noch ein lustiges Leseschmankerl obendrauf.

Der Artikel von damals, dem 11.01.2015:
https://www.heise.de/newsticker/meldung/Gehackte-Router-als-Bot-Netz-2515682.html

Der Kommentar, der dann ausuferte.
https://www.heise.de/forum/heise-on...se-Default-Passwoerter/posting-13670955/show/

 

[sysrq]

Also seit fast einem Monat gibt es Zugriffe auf nun insgesamt 160k Konten und Nintendo reagiert erst als Nutzer sie darauf hinweisen? Wow, saubere Arbeit! Haben die keine Überwachungssysteme?

 

[dero.O]

Wenn es sein muss, mache ich halt dann Hausbesuche, selbst wenn ich nach Australien muss, um meinem Email-Anbieter (seit 20 Jahren operamail) einen Besuch abzustatten, mich persönlich vorzustellen und einfach mal zu schauen, wer denn vor Ort mein Dienstleister ist.

Die Welt ist von meinem Standpunkt aus betrachtet nicht besonders. Weder besonders groß, noch besonders kompliziert. Die Affen überall stören leider.

160k Konten bei Nintendo....ich denke, der Dreck unter meinen Fingernägeln ist mehr wert^^

wow


Zum Thema: 160.000 Konten sind jetzt nicht soo viel. Und jeder der jammert "können die das nicht ordentlich machen?": Ich gehe davon aus, dass alles bei Nintendo von Menschen programmiert wurde. Menschen machen Fehler, die andere Menschen ausnutzen können, damit sie andere Menschen ausnutzen können. Alles wie gehabt

 

[[wege]mini]

wow

thats the point....

Kommt vor, Mund ab putzen, weiter machen.

Ich persönlich mag, dass fast niemand aktuell versteht, was wirklich passiert.

Das Gleichgewicht der Kräfte wird grundsätzlich geändert und aktuell hoffen die Firmen noch, dass die Konsumenten demnächst bald wieder einkaufen dürfen.

Sie haben noch nicht begriffen, dass Corona dem Bürger gezeigt hat, wer aktuell die Fäden in der Hand hält.

Demnächst werden wir vom Staat bezahlt, damit wir einkaufen gehen müssen und Einzelpersonen von den Überschüssen Jachten oder Sportwagen kaufen können.

Genau wie bei Hardware, kommt hier viel schönes, die nächsten Jahre.

mfg