Steam Account gestohlen

[Stevo86]

Ich denke Google bekommt das schon mit wenn auf die Handynummer nicht zugegrifffen wird. (keine Sendebestätigung oder ähnliches)
Hätte beides nicht existiert hätte es niemals geklappt.

Und es ist ja nicht der normalfall das jeman deinen Account der 12 Monate aktiv ist dadurch klaut.

 

[ChiliSchaf]

Was mit dem Satz "Es dauert 3 Wochen bis ich raus finde, dass weder die Handynummer noch die E-Mail Adresse überhaupt noch existieren" meinte:
Die E-Mail Adresse und die Handynummer, die mit dem Konto verknüpft waren existierten beide nicht mehr (waren aber immer noch verknüpft!). Sprich es konnte NIEMAND mehr auf die Mail Adresse noch auf die Handynummer zugreifen. Der Vorbesitzer hat da auch nichts abgeschaltet o.ä.

"Die E-Mail Adresse und die Handynummer, die mit dem Konto verknüpft waren existierten beide nicht mehr " und "nichts abgeschaltet" schließen sich aus. Und genau das meine ich ja - wer die als Zweitkanal genutzten Wege sperrt schaltet damit natürlich auf 2FA aus.

 

[DrThodt]

Wenn man bspw. Verträge auslaufen lässt schaltet man nichts ab. Aber egal, Wortklauberei.
Und woher will Google wissen, ob eine Mobilnummer noch geschaltet ist und auf welche Person die registriert ist? Ist Google jetzt auch noch Mobilfunkanbieter und Bundesnetzagentur in einem?

 

[tek9]

Welche 2FA Methode war den eingestellt?

Versendete 2FA SMS können Empfangsbestätigungen anfordern. Wenn 2FA per Mail an einen Toten Account geschickt wird, kommt eine Unzustellbarkeitsbenachrichtigung zurück.

Mal davon abgesehen das ein aktiver Inhaber eines Google Account, der der auch Zugriff auf seinen Account hat, sicherlich misstrauisch wird wenn er von Google über Kontoaktivitäten benachrichtigt wird die er nicht selber eingeleitet hat. Diesen Punkt ignorierst du geflissentlich von Anfang an in dieser Diskussion

Von daher hält ich deine Geschichte für den Versuch FUD zu verbreiten

 

[florian.]

Letztendlich geht es immer um Benutzerfreundlichkeit vs.Sicherheit.
wobei Benutzerfreundlichkeit in der Regel von den Benutzern mehr geschätzt wird.

 

[tek9]

... und man sollte auch nicht vergessen das der Account mit einem Passwort geschützt ist und 2FA lediglich eine zusätzliche Maßnahme ist.

 

[DrThodt]

Mal davon abgesehen das ein aktiver Inhaber eines Google Account, der der auch Zugriff auf seinen Account hat, sicherlich misstrauisch wird wenn er von Google über Kontoaktivitäten benachrichtigt wird die er nicht selber eingeleitet hat. Diesen Punkt ignorierst du geflissentlich von Anfang an in dieser Diskussion

Und du ignorierst, dass ein inaktiver Inhaber eines Accounts offensichtlich weniger Schutz genießt. Zumindest wenn die Prämisse "2FA wird bei inaktiven Accounts selbstständig deaktiviert" zutrifft. In den Fall bin ich mir aber auch sicher, dass ein Großteil der Nutzer sich dessen nicht bewusst ist.
Bisher völlig unklar ist (und bleibt es wohl auch) nämlich aufgrund welcher Kriterien Google auf den zweiten Faktor verzichtet hat.

Von daher hält ich deine Geschichte für den Versuch FUD zu verbreiten

Das ist ein freies Land und nachdem mir in diesen Thread das ganze auch schon als ausgedachte Lügengeschichte unterstellt wurde kannst du natürlich davon halten, was du willst. Meine Absicht war aber das genaue Gegenteil davon. Von mir aus kannst du 2FA immer noch für was ganz tolles halten, ist es vielleicht auch, aber nur dann, wenn es funktioniert. Und wenn ich den Begriff "FUD" richtig verstehe, müsste ich dann nicht eine vermeintlich bessere Alternative anbieten?

... und man sollte auch nicht vergessen das der Account mit einem Passwort geschützt ist und 2FA lediglich eine zusätzliche Maßnahme ist.

Und zum wiederholten Male: eine zusätzliche Maßnahme, die keine zusätzliche Sicherheit bringt, wenn sie nicht konsequent durchgeführt wird.

 

[tek9]

Und du ignorierst, dass ein inaktiver Inhaber eines Accounts offensichtlich weniger Schutz genießt

Hast du dir eigentlich mail die Mühe gemacht und Google wegen dieser Geschichte kontaktiert?

Das ist ein freies Land

Genau deshalb steht es jedem frei Dinge die ihm erzählt werden kritisch zu hinterfragen.

Und zum wiederholten Male: eine zusätzliche Maßnahme, die keine zusätzliche Sicherheit bringt, wenn sie nicht konsequent durchgeführt wird.

Ein Account der seit Wochen immer wieder aufgerufen wird und der login wegen 2fa scheitert und dessen Benachrichtigungen über Kontoaktivitäten ignoriert werden, ist entweder verwaist oder der Inhaber kann sich aufgrund von 2FA nicht mehr anmelden.

Logisch oder?

 

[Stevo86]

welche Person die registriert ist? Ist Google jetzt auch noch Mobilfunkanbieter und Bundesnetzagentur in einem?

Schon mal was von Sende oder Zustellbenachrichtung gehört? Das gab es bei SMS schon um 2000 rum. Und wenn man es mehrmals versucht wird Google irgendwann schon merken das die nie kommt und geht daher avon aus die die Nr nicht (mehr) stimmt.

Wenn deine kuriose Gesichte stimmt hättest du auch einfach den Accinhaber nach dem PW fragen können, aber vermutlich hast du ihn einfach übernommen aus irgendeneinem Grund.

Bei einem aktiven Account, bei dem Email und SMS übewacht werden hätte das nie funktioniert. Und wenn man den ACC nich tmehr nutzt hält sich der Schaden eh in Grenzen.

 

[DrThodt]

Wenn deine kuriose Gesichte stimmt hättest du auch einfach den Accinhaber nach dem PW fragen können, aber vermutlich hast du ihn einfach übernommen aus irgendeneinem Grund.

Wenn du meine Beiträge nicht liest, brauchst du auch nicht darauf antworten!

 

[JAIRBS]

Wenn deine kuriose Gesichte stimmt hättest du auch einfach den Accinhaber nach dem PW fragen können, aber vermutlich hast du ihn einfach übernommen aus irgendeneinem Grund.

Bitte nicht persönlich nehmen, aber der ging gewaltig nach hinten los!

B2T: Egal, wie "logisch" das Szenario für Euch ist, wenn die 2FA auf die Nummern/Adressen nicht reagiert: Google darf nicht über den Kopf des Benutzers hinweg entscheiden!

Wenn man das Ganze jetzt mal auf die Spitze treibt, dann würde das ja Folgendes bedeuten:

Jemand phisht meine Zugangsdaten - wie, warum jetzt auch immer - und ich habe einen Unfall, liege monatelang im Koma. Also ist nach Googles Logik dann mein Account "verwaist" und der Angreifer muss nur lange genug warten um meine vermeintlich ungültigen 2FA Kontaktdaten zu ändern? Genau davor soll die 2FA doch schützen, dass ein Passwort alleine eben nicht ausreicht, egal wie lange irgendwas "unbenutzt" ist.

Natürlich geht's jetzt weiter: aber dann ist das Smartphone doch an, Google bekommt SMS Empfangsbenachrichtigungen, die E-Mail Adresse existiert, es kommt kein Error vom mailer daemon zurück etc. Es geht mir auch nicht um die "real life Wahrscheinlichkeit", sondern nüchtern um den Faktor, dass es diesen Angriffsvektor gibt und alleine das ist meiner Meinung nach vollkommen inakzeptabel.

@DrThodt 2FA ist per se nicht unnötig oder schlecht. Nur wenn Google das wirklich so gelöst hat, dann würde ich denen definitiv schreiben. Ohne Zugriff auf die 2FA bzw. deren Backup Codes sind Accounts normalerweise mausetot und für immer verloren. Ich spreche da aus leidlicher Erfahrung

 

[florian.]

wo wir wieder hierbei sind:
Letztendlich geht es immer um Benutzerfreundlichkeit vs.Sicherheit.
wobei Benutzerfreundlichkeit in der Regel von den Benutzern mehr geschätzt wird.


Wenn man ständig an der 2FA scheitert (PW bekannt, 2FA nicht), dann gibt es 2 Möglichkeiten:
1. PW wurde gestohlen --> der User bekommt 2FA anfragen --> der User sollte das PW ändern!
2. 2FA ist nicht mehr möglich.

Nachdem sich keiner um die 2FA anfragen kümmert geht Google wohl davon aus, dass die 2FA nicht mehr genutzt werden kann. Benutzerfreundlich ist es dann, die 2FA zu deaktivieren.

 

[ChiliSchaf]

...
Wenn man das Ganze jetzt mal auf die Spitze treibt, dann würde das ja Folgendes bedeuten:

Jemand phisht meine Zugangsdaten - wie, warum jetzt auch immer - und ich habe einen Unfall, liege monatelang im Koma. Also ist nach Googles Logik dann mein Account "verwaist" und der Angreifer muss nur lange genug warten um meine vermeintlich ungültigen 2FA Kontaktdaten zu ändern? Genau davor soll die 2FA doch schützen, dass ein Passwort alleine eben nicht ausreicht, egal wie lange irgendwas "unbenutzt" ist.

Natürlich geht's jetzt weiter: aber dann ist das Smartphone doch an, Google bekommt SMS Empfangsbenachrichtigungen, die E-Mail Adresse existiert, es kommt kein Error vom mailer daemon zurück etc. Es geht mir auch nicht um die "real life Wahrscheinlichkeit", sondern nüchtern um den Faktor, dass es diesen Angriffsvektor gibt und alleine das ist meiner Meinung nach vollkommen inakzeptabel...

Eben NICHT, du kannst von Google aus die nächsten 20 Jahre im Koma liegen, wenn in dieser Zeit die einmal eingerichteten alternativen Kanäle nicht durch aktives abschalten oder passives nicht mehr bezahlen deaktiviert werden, so lange wird auch das Feature 2FA bestehen.

Es geht nicht um "verwaiste" Accs oder Accountinhaber die gerade 20 Jahre lang kacken sind und daher nicht reagieren, es geht um durch eine Handlung oder eine Unterlassung des Accountinhabers und deaktivierte und somit zur Versand der Informationen nicht mehr zur Verfügung stehende zweite Kanäle.

 

[JAIRBS]

@ChiliSchaf Im Bezug auf Deinen ersten Absatz: darum dreht sich (fast) der gesamte Thread. So wird es von DrThodt aber ja dargestellt und genau das ist der Diskussionspunkt. Genau so wie Du es im ersten Absatz schreibst soll es ja auch sein! Aber genau so scheint es laut DrThodt ja eben nicht zu sein, wenn seine Aussage stimmt.

 

[tek9]

@frizzmaster

Doch darum geht es ja gerade. DrThodt hat einen Google Account übernommen der per 2FA abgesichert war, aber die Kanäle für den zweiten Faktor waren tot, siehe #34:

Es dauert 3 Wochen bis ich raus finde, dass weder die Handynummer noch die E-Mail Adresse überhaupt noch existieren.

Das sehe ich zumindest nicht als Problem, sondern als Service an. Wenn man die Handynummer wechselt die man bei Google hinterlegt hat, und vorher vergisst das man diese Nummer bei Google für 2FA hinterlegt hat, ist der Account tot.

Die Wahrscheinlichkeit das man die Handynummer wechselt und zeitgleich ein fremder den Google Account hacken will, sehe ich als sehr gering.

Nichts desto trotz sollte @DrThodt Google kontaktieren und anfragen ob das so gewollt ist. Das würde allen mehr bringen als hier im Forum dieser Geschichte weiter durchzukauen.

Ich bin sehr gespannt auf das Ergebnis der Anfrage bei Google

 

[JAIRBS]

@tek9

Doch darum geht es ja gerade. DrThodt hat einen Google Account übernommen der per 2FA abgesichert war, aber die Kanäle für den zweiten Faktor waren tot

Ich habe nie was anderes behauptet, bevor das jetzt missverständlich wird!

Wenn man die Handynummer wechselt die man bei Google hinterlegt hat, und vorher vergisst das man diese Nummer bei Google für 2FA hinterlegt hat, ist der Account tot.

Nein, ist er nicht. Denn dafür hat man die Backup-Codes der 2FA um eine neue Nummer oder E-Mailadresse als Kontaktmöglichkeit zu registrieren bzw. um die 2FA kurzweilig ganz abzuschalten. Aber genau das hat Google ja von alleine gemacht ohne Zutun des Vorbesitzers.

Egal, ich glaube hier meinen alle das Richtige, aber wir reden aneinander vorbei

 

[tek9]

Alles gut, es ist schon spät

Ich hatte das Blatt mit den Codes irgendwann mal brav ausgedruckt und wie von Google empfohlen nicht lokal gespeichert und mich danach gefragt was eigentlich passiert wenn man das bladel verschlampt. Jetzt wissen wir was dann passiert o. O

 

[Rastla]

Ach Quatsch. Solange unsere E-Mail Adressen vernünftig abgesichert sind, ist das völlig ausreichend.

SteamGuard ohne mobile Authenticator is ja trotzdem noch 2FA - also benutzt du es ja doch^^


Zum Thema:
Es ist super einfach die Steam Login-Seite nachzubauen und dann nach einen 2FA Code zu fragen...
Danach sendet die Scam Seite das ganze nur noch an Steam und man prüft so sogar noch ob die Daten des Users korrekt sind.
https://i.imgur.com/EsKfpGZ.jpg

Am besten ist es deshalb immer besonders auf die URL zu schauen, oder noch besser:
Direkt auf die Steam Seite gehen (nach Steam googlen) und dort direkt einloggen, dann nochmal den Link vom Freund anklicken. Dann hat ist man nämlich entweder direkt eingeloggt, falls es wirklich eine Steam Seite ist, oder ansonsten kann man "Login bestätigen" oder so ähnlich klicken, wenn die Seite Steam OpenID verwendet.
Wenn keine dieser beiden Varianten eintreten, ist man vermutlich auf einer Scam seite