Steam: Übernahme beliebiger Accounts durch Sicherheitslücke
Durch einen Fehler bei der Passwortwiederherstellung von Valves Spieleplattform Steam war es Betrügern möglich, jeden beliebigen Account zu übernehmen. Die Lücke ist inzwischen geschlossen. Wer eine E-Mail von Steam bezüglich einer Passwortänderung erhielt, sollte dieses dennoch ändern.
Für die Account-Übernahme war lediglich der Nutzername des entsprechenden Kontos notwendig. Über die Passwortwiederherstellung von Steam ließ sich der Zugangscode ändern, ohne dass weitere Eingaben getätigt werden mussten. Auch Konten mit aktiviertem „Steam Guard“, der bei einer Passwortänderung einen zusätzlichen Sicherheitscode per E-Mail an den Nutzer versendet, sollen Berichten zufolge betroffen sein. Unklar ist, ob die neu eingeführte Zwei-Faktor-Authentifizierung Nutzer vor dem Diebstahl des eigenen Accounts bewahren konnte.
Aufgefallen ist der Fehler mehreren Reddit-Nutzern, nachdem die Konten von bekannten Twitch-Streamern übernommen wurden. Einziger Hinweis darauf, dass das eigene Konto übernommen wurde, ist eine E-Mail von Steam bezüglich einer vorgenommenen Passwortwiederherstellung.
Laut weiteren Berichten auf Reddit, sollen betroffene Nutzer für fünf Tage vom Handel mit In-Game-Items ausgeschlossen sein. So soll sichergestellt werden, dass die teilweise mehrere Hundert Euro teuren Gegenstände im Besitz ihrer Eigentümer bleiben.
In einer Stellungnahme von Valve gegenüber Kotaku heißt es: „Um Nutzer zu schützen, setzen wir Passwörter zurück, die in dem Zeitraum geändert wurden. Betroffene Anwender erhalten eine E-Mail mit einem neuen Passwort. Wir empfehlen den Nutzern, sich über den Steam Client einzuloggen und ein neues Passwort einzustellen.“ Zudem heißt es, dass Accounts mit aktiviertem „Steam Guard“ gegenüber nicht autorisierten Logins geschützt waren, auch wenn die Zugangsdaten geändert wurden.