Amazon-Konto gehackt!

[Don_2020]

Gestern bekam ich ein Päckchen, das ich nicht bestellt habe. Wert ca. 10 EURO.
Bestellt wurde am 29.09.2020 - aber nicht von mir. Zugriff auf das Konto hat sonst keiner.
Heute habe ich bei Amazon auf meinem Konto nachgeschaut. Erst mußte ich mich neu ausweisen, da mit meinem Passwort kein Zugriff möglich war. Danach habe ich den Mist gesehen. 100 EUR Gutschein wurde bestellt, ausgeliefert und bereits eingelöst.
Habe mit dem Amazon-Service telefoniert. Konto wurde gesperrt. Klärung in den nächsten Tagen.

Wer hat sowas schon einmal erlebt und kann berichten?

 

[kamanu]

Nicht erlebt. Aber für die Zukunft: 2-Faktor-Authentifizierung einrichten. Alle Passwörter bei Accounts ändern, wo du dasselbe wie bei Amazon verwendet hast.

 

[JAIRBS]

Habe mit dem Amazon-Service telefoniert. Konto wurde gesperrt. Klärung in den nächsten Tagen

Zwar nicht bei Amazon, aber meine IBAN ist wohl mal in falsche Hände geraten und jemand hat auf mein Konto eingekauft. Hab's bei der Bank gemeldet mit Bitte um Rückbuchung. Das hat zwar auch geklappt, aber ich musste der Bank nachweisen, dass ich Anzeige erstattet habe und musste eine eidesstaatliche Versicherung unterschreiben, dass es sich hierbei um keinen Täuschungsversuch meinerseits handelt. Habe ich alles gemacht und mein Geld wieder bekommen. Ich denke ähnlich wird es auch bei Amazon sein, wenn nicht sogar noch einfacher. Amazon ist erfahrungsgemäß echt cool drauf.
Ich rate Dir dringend dazu in Zukunft bei allem was mit Geld/Shopping zu tun hat, die Zwei-Faktor-Authentifizierung zu nutzen. Zudem würde ich meinen PC formatieren und komplett clean neu aufsetzen. Smartphone ebenso auf Werkseinstellungen zurücksetzen. Man weiß nie wie der Angreifer an Deine Daten gekommen ist, im worst case durch Malware auf Deinen Geräten.
Oder bist Du irgendwann mal auf 'ne Phishing Mail reingefallen etc., wo Du Deine Zugangsdaten zu irgendwelchen "Verifizierungszwecken" angeben musstest?

Außerdem noch zu dem was @kamanu sagt: niemals (!) das Passwort für Deine E-Mail Adresse noch wo anders verwenden!

 

[Malaclypse17]

Alleine schon aus gesundem Menschenverstand, sollte man alle Konten mit verknüpften Zahlungsarten die keine weitere Autorisierung benötigen, mit 2FA einrichten, sonst gilt: selber Schuld, Lehrgeld wurde bezahlt.

99% dieser Fälle könnten mit einem guten einzigartigen Passwort und 2FA verhindert werden.

 

[ergibt Sinn]

Ich verstehe das nicht ganz also sorry das ich nachfrage.
Was war in dem 10 Euro Päckchen drinnen und wozu würde ein Hacker dies bestellen ?

Der Gutschein wurde doch online gekauft und nicht Physisch oder ?

 

[cyronhawk]

Meinem Vater ist dies mal passiert als er eine typische Phishing Mail geöffnet hatte. Ihm ist nicht aufgefallen, dass er sich gerade beim einer falschen Seite mit seinen Amazon Anmeldedaten anmeldet.

Es wurde 1 100€ Amazon Gutschein gekauft und anscheinend direkt wieder eingelöst...
Wir bekamen das Geld leider nicht wieder...

 

[micha`]

sonst gilt: selber Schuld, Lehrgeld wurde bezahlt.

Nah, zum Glück ist es nicht so einfach. Auch wenn ich dir prinzipiell zustimmen kann, dass man 2FA möglichst immer einrichten sollte: du musst auch mal über den Tellerrand außerhalb der technikaffinen Community schauen. Auch in deinem sozialen Umfeld gibt es sicher Leute die es in irgendeinem Bereich wirklich drauf haben, aber in technischer Sicht einfach schwach aufgestellt sind. Da würdest du sicher im Betrugsfall auch nicht direkt "HAHA! Selbst Schuld" rausposaunen.

Wir bekamen das Geld leider nicht wieder...

Beim Vater vielleicht mal als einziges Zahlungsmittel eine Kreditkarte hinterlegen. Die sind im Betrugsfall abgesichert und du kannst dir dann im Zweifel das Geld über die erstatten lassen.

Grüße

Micha

 

[Don_2020]

Banking mache ich mit der Zwei-Faktor-Authentifizierung. Anders geht es auch nicht mehr.
Phising Mail kann ich definitv ausschliessen. Das Amazon-Passwort wurde auch nicht für andere Dienste genutzt.
Jetzt wird der PC plattgemacht. Weiter gehts mit Linux Mint. Ich muss nur noch die Qemu/KVM mit virtio zum laufen bekommen oder etwas langsamer mit Virtualbox Windows zum laufen bringen. Leider habe ich noch Windows-only-Software.

@ Celetervivre: Das scheint ja öfter vorzukommen.

Offensichtlich wurde das Konto durch den Hacker vor der Bestellung geprüft. Einen gleichwertigen Artikel habe ich vor Wochen mal bestellt.

 

[ergibt Sinn]

Und was hat es denn nun mit dem Päckchen auf sich ?

 

[areiland]

@Celetervivre
Genau deshalb schaut man beim Eingang von Amazon-Mails im Nachrichtencenter seines Amazon-Kontos nach und klickt nicht auf irgendwelche Links in irgendwelchen Mails.

 

[Malaclypse17]

Da würdest du sicher im Betrugsfall auch nicht direkt "HAHA! Selbst Schuld"

Ist richtig.
Mag sein, dass ich dahingehend schon etwas abgestumpft bin, denn wenn man sowas wieder und wieder und wieder runterpredigt, die Leute aber nicht verstehen wollen und auch erst dann in Aktion treten, wenn schon etwas passiert, dann verliert man da irgendwann seine Geduld.

Wie sieht es mit deiner Email-Adresse aus? Schwirrt die vielleicht schon in diversen Listen im Internet umher?

 

[cyronhawk]

@areiland
Erklär das bitte meinem Vater...

 

[blackbirdone]

Wieso sollte jemand das Konto hacken und ein 10 Euro Paket zu dir bestellen.

Aber wenn jemand dein Passwort hat kann er natürlich bestellen. Amazon wurde aber sicher nicht gehackt.

 

[Don_2020]

Was da bestellt und geliefert wurde tut hier nichts zur Sache.
Wie schon geschrieben, Amazon meint, das der Hacker das Paket als Kontotest bestellt hat.

 

[micha`]

Mag sein, dass ich dahingehend schon etwas abgestumpft bin, denn wenn man sowas wieder und wieder und wieder runterpredigt

Du, ich bin da bei dir. Aber die Anbieter scheuen sich auch unfassbar davor 2FA als Pflicht einzuführen, weil sie Angst haben die Kunden zu verärgern. Eine Teilschuld würde ich denen damit zumindest ankreiden.

 

[JAIRBS]

Offensichtlich wurde das Konto durch den Hacker vor der Bestellung geprüft. Einen gleichwertigen Artikel habe ich vor Wochen mal bestellt.

Wahrscheinlich sollte der Bestellprozess durch das erneute Bestellen eines Artikels, den Du schonmal bestellt hast, "legit" aussehen, damit der Kauf der Gutscheinkarte seriöser erscheint. Ich würde das Paket auf jeden Fall Retoure schicken mit der Nachricht, dass der Bestellvorgang nicht von Dir getätigt worden ist.

weil sie Angst haben die Kunden zu verärgern

Kann ich anbieterseitig aber verstehen. Ich kenne so viele "DAUs", die zwar ihre 2FA aktivieren, sich aber ihre Recovery Keys nicht ausdrucken und dann dumm gucken, wenn das Smartphone gewechselt/resettet/etc. wird und sie keinen Zugriff mehr auf ihre OTPs haben ^^ Die meisten Leute sind leider nicht zu IT-kompetent um zu verstehen was es mit der 2FA auf sich hat. Selbst beim Banking muss ich mir dauernd Kommentare anhören, dass doch 'ne einfache TAN Liste reichen würde und dass das doch alles nur Schikane sei ... bis man dann einmal selbst betroffen ist und bäng.

 

[Don_2020]

Amazon sagt ich soll warten bis sich der Support meldet. Mach ich und hoffe das in der nächsten Woche alles geklärt wird.
Der Gutschein soll per Email versandt worden sein und wurde bereits eingelöst. Keine Ahnung wie das geht ohne den Einlöser zu identifzieren?

 

[JAIRBS]

Der Gutschein soll per Email versandt worden sein und wurde bereits eingelöst. Keine Ahnung wie das geht ohne den Einlöser zu identifzieren?

Ich vermute: der "Dieb" hat den Gutschein per eBay Kleinanzeigen verkauft, 100€ Wert für 90€ Realgeld, natürlich anonym, wie Kleinanzeigen so gerne ist, der Käufer löst ihn ein und steht dann dumm da, weil sein Gutschein revidiert wird bzw. sein Konto gesperrt und der Dieb hat die Kohle.
Ist ähnlich wie wenn man ein geklautes Fahrrad als Gebrauchtware irgendwo kauft. Wird man von der Polizei erwischt und die Rahmennummer ist als gestohlen gemeldet, dann ist das Rad beschlagnahmt und die eigene Kohle auch weg. Der Dieb natürlich ebenso, wenn er kein Vollidiot war (mit dem Geld).

 

[cyronhawk]

Keine Ahnung wie das geht ohne den Einlöser zu identifzieren?

Wie meinst du identifizieren?
Normal schickt man ihn einer anderen Email Adresse und dieser löst ihn ohne eine Identifizierung ein

 

[testwurst200]

Ist es nicht so, dass amazon eine erneute Bestätigung braucht wenn man sich von einem "unbekannten" Ort anmeldet?
2 Faktor finde ich immer klasse, wenn beides mit dem gleichen Gerät verfiziert wird. Bestätigungsmail (email app installiert) oder sms