News

Neue Sicherheits-Lücke bei Ebay

16.3.2004:

München – Eine neue Sicherheitslücke bei Ebay kann für die Mitglieder des Online-Portals gefährlich werden. Denn wie die PC-WELT jetzt berichtet, lassen sich mit einem einfachen Trick Mitgliedsnamen und Passwörter von Ebay-Nutzern stehlen. Betrügern bietet sich somit die Chance, sämtliche bei Ebay gespeicherten Mitgliedsdaten einzusehen und abzuändern – darunter E- Mail-Adressen, Bankverbindungen, beobachtete Artikel oder Höchstgeboteinstellungen. Darüber hinaus reichen diese Informationen aus, auf Kosten der geprellten Ebay-Nutzer Artikel zu kaufen oder zu verkaufen. Weil in der Praxis Computer-Anwender häufig dasselbe Passwort für mehrere Zwecke nutzen, zum Beispiel für Ebay, für ihr Mail-Postfach und für Amazon, steht dem Betrug Tür und Tor offen.

Der Trick funktioniert so: Ein Betrüger kopiert beim Erstellen seines Angebotes ein kleines, vierzeiliges Javascript in den Angebotstext seines Artikels. Dieses Mini-Programm manipuliert im Web-Browser des Opfers die Bieten-Schaltfläche. Nach dem Anklicken leitet die Schaltfläche die eingegeben Daten nicht an Ebay weiter, sondern lenkt sie auf einen anderen Server um. Dort könnte der Datenspion eine gefälschte Website hinterlegen, die wie die echte Login-Seite von Ebay aussieht. Gibt der Anwender nun seinen Login-Namen und sein Passwort ein, gelangen seine Daten in die Hände des Betrügers.

Nach Kenntnis der PC-WELT sind Ebay derartige Javascript-Sicherheitslücken schon länger bekannt. Geschlossen wurden sie aber bisher nicht. Auch ein angeblicher Javascript-Filter von Ebay funktioniert, wie ein PC-WELT-Praxistest beweist, zumindest bei dem Passwortklau-Javascript nicht. Dazu ein Pressesprecher von Ebay: „Das Javascript-Problem ist uns bekannt. Wir arbeiten daran, eine Lösung zu finden. Wenn wir Javascript einfach verbieten, wäre Ebay unattraktiver.“

Bis die Sicherheitslücke geschlossen ist, empfiehlt PC-WELT allen Ebay-Kunden, Javascript in ihrem Internetbrowser zu deaktivieren. Beim Windows Internet Explorer Version 6 funktioniert dies über „Extras, Internetoptionen, Sicherheit, Stufe anpassen, Scripting, Active Scripting, Deaktivieren“.

Einfacher geht’s, wenn Anwender die Ebay-Seite grundsätzlich unter "Extras, Internetoptionen" im Internet Explorer als "eingeschränkte Site" definieren.

Link:
http://www.pcwelt.de

^aufi^