Gamershop 3DSupply gehackt - Angriff vom 26C3?

Am gestrigen Freitag, also pünktlich zum neuen Jahr erhielten Kunden von 3DSupply eine E-Mail, in der die Geschäftsführung darauf hinweist, dass am 30.12.2009 zwischen 0 und 4 Uhr vom 26C3 aus ein Angriff auf den Online-Shop stattfand. Dabei sollen Hacker online Zugang zur Datenbank erlangt haben, indem sie eine SQL-Injection Lücke als Angriffspunkt für ihren Hackversuch ausnutzten. Dabei konnten Teile der Datenbank abgefragt und Daten ausgelesen werden.

Weiterhin informierte man die Kunden darüber, dass man den Angriff genau mitverfolgt habe und lediglich Nutzernamen und die dazugehörigen E-Mail Adressen abgefragt wurden. Andere Daten seien nicht ausgespäht worden, da es sich bei der Hacker-Attacke offenbar "nur" um einen "Proof of Concept"-Angriff handelte. Dies ist, dem Hacker-Kodex zufolge eine gebräuchliche Handhabe, um Betreiber von Websites auf Sicherheitslücken aufmerksam zu machen und sie für Datenlecks zu sensibilisieren.

In diesem Fall handelte es sich vermutlich im nicht ausreichend geschützte Formulare, wodurch manipulierte Eingabedaten den Zugriff auf das Datenbanksystem möglich machten. In der Mail von 3DSupply heißt es: Die Hacker konnten sich in unseren Shopadminbereich einloggen, haben sich dort aber nur umgesehen und ein Scherzprodukt eingestellt (T-Shirt: "I hacked 3dsupply and all I got was this lousy shirt").

Alles in allem ist für den Shopbetreiber noch einmal alles glimpflich abgelaufen und der Chaos Communication Congress hat einmal mehr gezeigt, wie schnell kleine Lücken in Websites zu großen Auswirkungen führen können. Der Shop-Betreiber hat inzwischen alle Kundenprofile gelöscht, und die Lücke geschlossen. Kunden, die Produkte bestellen wollen, müssen sich leider neu registrieren.