News Hijacking? Unbekannte plündern Diablo-3-Accounts

[-equal-]

Battle.net® Account Security & Diablo® III

We'd like to take a moment to address the recent reports that suggested that Battle.net® and Diablo® III may have been compromised. Historically, the release of a new game — such a World of Warcraft® expansion — will result in an increase in reports of individual account compromises, and that's exactly what we're seeing now with Diablo III. We know how frustrating it can be to become the victim of account theft, and as always, we're dedicated to doing everything we can to help our players keep their Battle.net accounts safe — and we appreciate everyone who's doing their part to help protect their accounts as well. You can read about ways to help keep your account secure, along with some of the internal and external measures we have in place to help us achieve our security goals, at our account security website here: www.battle.net/security.

We also wanted to reassure you that the Battle.net Authenticator and Battle.net Mobile Authenticator (a free app for iPhone and Android devices) continue to be some of the most effective measures we offer to help players protect themselves against account compromises, and we encourage everyone to take advantage of them. In addition, we also recently introduced a new service called Battle.net SMS Protect™, which allows you to use your text-enabled cell phone to unlock a locked Battle.net account, recover your account name, approve a password reset, or remove a lost Authenticator. Optionally, you can set up the Battle.net SMS Protect system to send you a text message whenever important changes occur on your account.

For more information on the Authenticator, visit http://us.battle.net/support/en/article/battle-net-authenticator-faq

For more on the Battle.net Mobile Authenticator, visit http://us.battle.net/support/en/article/battle-net-mobile-authenticator-faq

For more on Battle.net SMS Protect, visit http://us.battle.net/support/en/article/battlenet-sms-protect

We also have other measures built into Battle.net to help protect players. Occasionally, when Battle.net detects unusual login activity that differs from your normal behavior — such as logging in from an unfamiliar location — we may prompt you for additional information (such as the answer to one of your security questions) and/or require you to perform a password reset through the Battle.net website. World of Warcraft players might be familiar with this security method already, and Diablo III players may begin to encounter it as well.

As always, if you think you've been the victim of an account compromise, head to the "Help! I've Been Hacked!" tool at http://us.battle.net/en/security/help for assistance.

Quelle: Kotaku

 

[Rob83]

Die haben noch Glück gehabt. Wäre das Echtgeld AH draußen und man hätte wertvolles Zeug, dann könnte man sogar rechtlich gegen Blizzard vorgehen.

Bei solchen Sicherheitsstufen führt man keine Geldgeschäfte.
Und das wird noch schlimmer mit den Hackern.

 

[ayngush]

Das Plündern von Battle.Net Accounts ist doch schon fast Tradition und jedes verdammte Mal kann man das auf Account-Sharing oder Trojaner (durch Phishing z.B.) zurückführen.
Ohne einen "speziellen" Trojaner, der die SessionID vom Opfer-Rechner ausliest und zusammen mit der IP an den Angreifer schickt kann so etwas ja gar nicht funktionieren. Der Angriff findet also bereits vor dem Spielen statt und ich wette, wenn man sucht, dann findet man auch

Es sind also mal wieder zwei Dinge, wie schon bei WoW seinerzeit: Die Unfähigkeit einiger Nutzer sich einfach mal keinen Trojaner einzufangen zusammen mit der Fähigkeit aus jedem Scheiß sofort einen Alarm zu schlagen, der unnötiger nicht sein kann. Ein Sturm im Wasserglas also.

@den Beitrag über mir: Da kann man rechtlich überhaupt gar nicht gegen vorgehen, weil diese Accountdiebstähle, insbesondere in dem beschriebenen Szenario, bislang immer auf den Nutzer zurückzuführen waren. Es reicht ja schon, wenn der kleine Bruder am gleichen Rechner in deinen Phishing-E-Mails ließt. Zum Teil kommen die Angreifer über irgendwelche Gildenwebseiten / Foren an die Mailadressen und Spammen die Accounts dann voll. Ich kann das mit meinen eigenne Catch-All-E-Mail-Account ganz gut nachvollziehen. Die Battle.Net Spams kommen nahezu alle auf Mailadressen, die ich nie verwendet habe oder die ich mal zum registrieren in irgendwelchen Gildenforen benutzt habe, die dann teilweise lange Zeit brach liegen und dann offenbar mal gehackt wurden. Darüber fängt man sich dann Spezifische Trojaner für WoW oder jetzt halt auch für Diablo 3 ein und schon ist Essig mit Accountsicherheit. Da kann Blizzard absolut nichts dafür, das ist allein die Schuld der Nutzer. Zumal Blizzard wirklich vorbildlich Warnungen diesbezüglich veröffentlicht.

 

[slogen]

Bringt ein sicheres Passwort was oder ist es in dem Fall vollkommen egal?

 

[ayngush]

Sich keinen Trojaner einfangen Bringt was. Ein sicheres Kennwort ist ohnehin obligatorisch.

 

[d-Raven-b]

waaas? aber der always online battlenet zwang sollte doch genau das verhindern.

Das Plündern von Battle.Net Accounts ist doch schon fast Tradition und jedes verdammte Mal kann man das auf Account-Sharing oder Trojaner (durch Phishing z.B.) zurückführen.

Nichts desto Trotz ist es ein Unding, dass man auch im SP immer verbunden sein muss. Ansonsten wäre das Problem nämlich für ein beträchtlicher Teil der Spieler inexistent und alle Trojaner wären bei diesen Nutzlos. Diejenigen die das Spiel fröhlich zuhause im Singleplayer daddeln könnten noch so viele Trojaner auf ihrem Rechner haben, es würde nichts ausmachen. Zwingt man auch noch den Letzten online zu gehen, verschlimmern sich natürlich auch die Probleme!
Bei WoW ist dies natürlich mangels SP keine Diskussion, bei Diablo III und Starcraft siehts aber schon anders aus.

 

[Aza*]

Könnten aber auch die Server on Blizzard direkt betroffen sein. Habe ich jedenfalls mal gelesen...

 

[F!o]

[Ironie on] Ha, ihr denkt alle ihr Seit schlau, aber sooo schlau seit ihr gar nicht. ICH werde nämlich einfach das Netzwerkkabel ziehen, dann hat kein Trojaner mehr eine Chance....... HAHA[Ironie off]

War ja fast zu erwarten, und es wird wohl wirklich noch zunehmen wenn sich mit Diablo3 Geld verdienen lässt.

 

[FuXxMiTdOpPeLX]

Das hatte ein Freund von mir auch am Sonntag. Kurz nachdem die Server wieder liefen hat sich jemand mit seinem Account eingeloggt und das ganze Gold gestohlen.
Bei ihm kam dann die Meldung, dass sich jemand von einem anderen PC aus angemeldet hat.

 

[Bornemaschine]

Bei Origin war der Aufschrei groß,aber bei Blizzard ist das was anderes da kann mann wegucken was ist das schon im Singelplayer permanent am Netz zu hängen um noch nicht geladene daten nachzuladen und wer kein ordentliches Internet hat sieht sich das geruckle an
Geschieht den Recht

 

[onkelosuppo]

Diablo 3 - war das nicht das spiel, bei dem man selbst im Singleplayer online spielt.... nachdem ich das gehört hatte, hatte sich die ganze sache für mich erledigt...
[...]Ich werde das spiel einfach an mir vorbeiziehen lassen.

Genau, warte einfach auf Diablo IV.

BTT: Oh in dem Fall ist eine sonntägliche Serverwartung doch gerechtfertigt. Mal schauen was Blizzard dazu zu sagen hat.

 

[Wattwanderer]

Ich habe die Bedenken der Spieler gegen Echtgeld im Spiel nie verstanden.

Blizzard hätte sich bequem zurücklehnen und auf ihre EULA berufen können. Wir fixen Bugs wenn wir der Meinung sind wir sollten sie fixen aber jetzt ist Geld im Spiel und da MUSS Blizzard dafür sorgen, dass die Wirtschaft funktioniert. Ein Riesenfortschritt wenn man die elende Schummelitems bei Diablo 2 anguckt und wie hilflos die Versuche von Blizzard wirkte dem entgegenzutreten.

Die, die meinen echtes Geld für virtuelle Güter eintauschen zu müssen sollen es tun und alle anderen können in der Gewissheit, dass Blizzard nun gezwungen ist gegen Schummler vorzugehen ein schummelfreies Spiel genießen.

 

[hasek53]

Sehr komisch allerdings, dass davon zu 99% immer nur der zuletzt eingelogte Char geplündert wurde, sowie Items im Stash, die repariert sind. Das würde für einen Bug im Auktionshaus sprechen.

Weiters sehr auffällig, dass die betroffenen auch nie in WOW usw. ausgeraubt wurden (sicher habe 30-50 % auch einen WOW-Account).

Was wiederum die Theorie stützen würde, dass da ein BUG in Diablo3 ist.

 

[DonConto]

Bringt ein sicheres Passwort was oder ist es in dem Fall vollkommen egal?

Nein. Bei dem geschilderten Angriffsszenario merkt der Blizzard Server gar nicht, dass du offline bist. Von daher findet auch keine erneute Authentifizierung statt. Deshalb nützt dir in diesem Fall selbst der Authenticator nichts.

Blizzard könnte Zugriffe von unterschiedlichen IPs mit gleicher Session ID unterbinden. Ist wahrscheinlich aufwändig, könnte aber gegen solche Angriffe helfen.

 

[ayngush]

Nichts desto Trotz ist es ein Unding, dass man auch im SP immer verbunden sein muss. Ansonsten wäre das Problem nämlich für ein beträchtlicher Teil der Spieler inexistent und alle Trojaner wären bei diesen Nutzlos.

Ja, Onlinezwang hin oder her... Das weiß man und lebt damit oder nicht. Ich persönlich finde es nicht schlecht, da ich ohnehin im Battle.Net gespielt hätte, wie wahrscheinlich der Großteil auch, da der Handel von Gegenständen für mich einfach zum Diablo-Universum dazu gehört und das geht halt nun mal nur, wenn die sich die Gegenstände auch in der gleichen Domäne, sprich, im Battle.Net befinden. Ergo ist das natürlich ein Toller Grund, den momentan alle Kritiker wie ein Mantra wiederholen, dadurch wird er aber nicht richtiger, da der Großteil der Kritiker das Spiel, wenn es ein SP Modus hätte, aus irgendwelchen anderen Gründen nicht spielen würden und das der ganzen Welt wieder und wieder und ... mitteilen müssen.

 

[dMopp]

Also die Serverwartung am Sonntag für EU wird damit nix zu tun haben, da das Problem ja weltweit besteht und NUR EU (battlenet, nicht die Spieleserver) offline waren.

Sollte das mit der sessionid stimmen, muss Blizzard hier aber Ratzefatz einschreiten. Andererseits bin ich mir sicher, dass Blizz die entsprechenden Accounts schon längst beobachtet und da vorgehen wird... (Wenn man bedenkt wie viel möglichkeiten die alleine bei WoW haben.. die können sicherlich jeden virtuellen Meter verfolgen oder "live zugucken"

 

[Weyoun]

Ist es denn technisch nicht möglich, die Session-ID mit der IP- oder Mac-Adresse des Spiele-PCs zu koppeln?
Dann würde immerhin auffallen, wenn jemand mit einem anderen Rechner die Session ID "feindlich übernimmt".
Das gleiche Problem mit der "Übernahme" an anderer Stelle gibt es ja auch bei nichtverschlüsselten WLANs (Bahnhöfe, McDoof etc.)

LG,
Martin

 

[Decius]

vllt sollte man das etwas angehen wie Bitcoins, dass jedes ITEM egal ob Gold Rüstung etc eine Art Fingerabdruck mit sich führt die auch auf den Vorbesitzer zurückzuführen ist.

Na ob Bitcoin da ein gutes Vorbild ist? http://www.dailytech.com/Inside+the+MegaHack+of+Bitcoin+the+Full+Story/article21942.htm

 

[Suito]

Blizzard könnte Zugriffe von unterschiedlichen IPs mit gleicher Session ID unterbinden. Ist wahrscheinlich aufwändig, könnte aber gegen solche Angriffe helfen.

Ich denke mal das sowas implementiert ist, die SessionID kann man auch nur über men-in-the-middle, direkt vom BNet server oder halt vom client-PC auslesen.

Daher gehe ich aus das es sich vermehrt um Phising Sachen handelt. Das es sich um den letzten Eingelogten Char handelt müsste auch damit erklären zu sein das die ID auf den Char registriert ist, sprich neuer Char auswählen -> ID verändert sich.

Das wiederrum die WoW Accounts nicht betroffen sind liegt dadran, dass halt nur die Diablo3 SessionID übernommen wird, damit haben sie weder dein Passwort noch deinen Account, einfach die ID, deshalb sind übergriffe auf andere B.Net Spiele wohl weniger möglich.

Ich gehe auch davon aus das es zu 80% Userverschulden ist, denn das Internet wahllos nach IPs absuchen welche Diablo3 spielen dürfte schwierig sein...

 

[ayngush]

Session Hijacking ist immer ein Problem von Sessions. Das an die IP zu knüpfen wäre bei einem Spiel noch möglich, da man da selten mit rotierenden IPs, anders als eventuell beim Surfen, arbeitet aber das Gateway vom Studentenwohnheim um die Ecke versorgt wahrscheinlich alleine locker 10 Accounts, deswegen ist das auch nicht der beste Weg.
Am einfachsten wäre es, die Session an die Hardware ID des Rechners zu koppeln, denn das Jemand während er Spielt und eingeloggt ist seinen Rechner austauscht ist dann doch eher ... Naja, Schrödingers Katze und so...