Sedo Account Erstellung durch Fremden

[lostLobster]

...hab auch 'ne Mail erhalten.

Habe ich zum Anlass genommen, mich mal wieder einzuloggen und, da über sedo eh NIX mehr passiert, ALLE Domains bei sedo gelöscht.
Der Verkauf erfolgt ab sofort nur noch über die eigene Plattform.

 

[marc@sedo]

Danke für die zahlreichen Hinweise.
Wir arbeiten mit Hochdruck an der Sache und entschuldigen uns für die Unannehmlichkeiten.

Sobald ich die Gründe für die Mails weiß, werde ich mich wieder melden.

Schönen Sonntag noch
Marc

 

[Wettermann]

Marc, evtl. ist es für Euch ja auch hilfreich zu wissen, welche accounts keine Mail bekommen haben, um die Sache einzugrenzen.

Ich habe zum Beispiel bisher keine solche Mail bekommen.

 

[Cannabis-Domains.de]

Bisher keine Mail bekommen. Account aus 2001

 

[soundbites]

Ich auch nicht....

 

[STEPHAN]

Hier auch nichts angekommen.

Account vom 4.7.2000

 

[jabber]

Hier 1x von 5 Accounts angekommen.

LG
jabber

PS (kam gerade von Sedo an):
wir möchten Sie darüber informieren, dass die Sedo Website am Samstag, den 12. April, von einem unbekannten Angreifer über eine bisher unbekannte Sicherheitslücke kompromittiert wurde und dadurch der unautorisierte Versand einer E-Mail mit dem Betreff „Bestätigung Ihrer E-Mail-Adresse“ an einen kleinen Teil unserer Kundschaft ausgelöst wurde.

Unsere sofortige Überprüfung hat ergeben, dass es dem Angreifer gelungen ist, ausschließlich in den Besitz Ihrer betroffenen E-Mail-Adresse zu gelangen. Weitere Daten sind NICHT kompromittiert worden, d.h. keine Passwörter oder sonstige Account-Daten.

Sehr witzig... wohl kaum.

 

[marc@sedo]

Danke für das Feedback hier im Forum.

Das Problem wurde direkt am Samstag auch lokalisiert und abgestellt.
Alle, die die Mail am Samstag erhalten haben werden gerade mit folgender Nachricht von uns informiert:

"....,
wir möchten Sie darüber informieren, dass die Sedo Website am Samstag, den 12. April, von einem unbekannten Angreifer über eine bisher unbekannte Sicherheitslücke kompromittiert wurde und dadurch der unautorisierte Versand einer E-Mail mit dem Betreff „Bestätigung Ihrer E-Mail -Adresse“ an einen kleinen Teil unserer Kundschaft ausgelöst wurde.

Unsere sofortige Überprüfung hat ergeben, dass es dem Angreifer gelungen ist, ausschließlich in den Besitz Ihrer betroffenen E-Mail-Adresse zu gelangen. Weitere Daten sind NICHT kompromittiert worden, d.h. keine Passwörter oder sonstige Account-Daten. Das Sicherheitsleck wurde direkt nach Angriff geschlossen und weitere Datenabgriffe konnten erfolgreich abgewehrt werden. Für Sie bedeutet das, dass Ihr Sedo-Account sicher ist und Sie keine Schritte zur Sicherung Ihrer im Account hinterlegten Daten einleiten müssen. Das Anklicken des in der unautorisierten E-Mail angegeben Links hat keine Auswirkungen.
Bei Fragen helfen wir Ihnen gerne weiter. Kontaktieren Sie Ihren Account Manager oder besuchen Sie unser Kundenmanagement auf Kundensupport & FAQ für Ihre Fragen rund um Domains.
Wir bitten Sie die eventuell entstandenen Unannehmlichkeiten zu entschuldigen.
Mit besten Grüßen

Ihr Sedo Team"

Ich möchte mich noch einmal für die entstandenen Unannehmlichkeiten entschuldigen und wünsche schon mal schöne Ostertage in die Runde!
Marc

 

[Freddy]

Danke Marc für das update.
Derzeit seit ihr ja zumindest was Angriffe angeht nicht unbedingt in schlechter Gesellschaft. Damit haben ja in letzter Zeit einige zu kämpfen.
Es ist gut zu wissen dass zumindest keine weiteren Daten wie Kontonummern oder etwas dergleichen gestohlen wurden.

 

[123meins]

Auf der Sedowebseite ist leider immer noch keine offizielle Stellungnahme. Bei so einem Vorfall sollte man umgehend die Kunden auf der Webseite und im Account informieren. Sedo hat ja "nur" 1,5 Mio. Kunden die betroffen sein könnten.

Als Phisher würde ich genau so eine Email 2 Tage später raushauen. Zumal die jetzt ja die Emailadressen haben.

Und eventuell auch Vorname Nachname. So klar drückt Sedo sich ja nicht aus.

Wobei die Mail von Samstag das ü korrekt in meinem Namen dargestellt hat, während nun ein ü zu sehen war.

Grüsse

123meins

 

[Arithmos]

Da es sich nach allen Berichten hauptsächlich um sehr alte Accounts handelt, gehe ich davon aus, dass der Angreifer nichts weiter zu tun brauchte, als eine bestimmte URL mit der Account-ID aufzurufen. Und dann hat er wohl einfach ein Script gebastelt und bei id=1 angefangen.

Die Frage ist: warum sollte jemand so etwas tun?

Nun - falls meine Vermutung stimmt, dann wird der Webserver nach Abruf der URL ja etwas zurückgemeldet haben. Möglicherweise waren genau diese Informationen das Ziel und die begleitende Mail nur ein evtl. ungewollter Nebeneffekt.

Interessant wäre nun, was der Webserver denn in diesem Szenario zurückgemeldet hat - falls meine Vermutung simmt. Anzunehmen ist nach den Worten von Marc, dass er zumindest die e-Mail-Adresse auf diese Weise herausbekommen hätte.

Nun hätte er also schon Account-ID plus e-Mail-Adresse. Und vielleicht gibt es ja noch eine unbekannte "Sicherheitslücke" bzw. URL, bei der man diese beiden Daten im Verbund braucht, um weitere Dinge zu treiben ...

 

[vielleicht]

Da es sich nach allen Berichten hauptsächlich um sehr alte Accounts handelt, gehe ich davon aus, dass der Angreifer nichts weiter zu tun brauchte, als eine bestimmte URL mit der Account-ID aufzurufen. Und dann hat er wohl einfach ein Script gebastelt und bei id=1 angefangen.

Klingt eigentlich ganz gut, nur... ich wurde in der Email mit meinem echten Vornamen + Nachnamen angesprochen....
.

 

[Arithmos]

Klingt eigentlich ganz gut, nur... ich wurde in der Email mit meinem echten Vornamen + Nachnamen angesprochen....
.

warum "nur ..."? Hattest Du diese Daten nicht bei Sedo angegeben?

 

[Wettermann]

Unsere sofortige Überprüfung hat ergeben, dass es dem Angreifer gelungen ist, ausschließlich in den Besitz Ihrer betroffenen E-Mail-Adresse zu gelangen. Weitere Daten sind NICHT kompromittiert worden, d.h. keine Passwörter oder sonstige Account-Daten.

... ich wurde in der Email mit meinem echten Vornamen + Nachnamen angesprochen....

Das ist ein deutlicher Widerspruch.

Wenn der Angreifer ausschliesslich die Emailadresse besitzt kann er Name und Vorname höchstens dann kennen, wenn die Emailadresse diese enthält, oder?

Ansonsten ist es offensichtlich, dass der Angreifer eben doch weitere Daten (nämlich mindestens den Namen des Accountinhabers) erbeutet hat.


Und wer sagt eigentlich, dass der Angreifer nicht weit mehr Adressen erbeutet hat, und nur nicht alle eine solche Mail erhalten haben?

 

[Arithmos]

Ansonsten ist es offensichtlich, dass der Angreifer eben doch weitere Daten (nämlich mindestens den Namen des Accountinhabers) erbeutet hat.

Nicht, wenn er - wie ich oben gemutmaßt habe - dafür nur einfach eine URL mit einer geratenen Account-ID aufrufen musste. Die Frage ist nur, ob er nicht _nach_ dem Abruf dieser URL (und dem damit ausgelösten e-Mail-Versand) in der Antwort des Web-Servers den Namen und ggf. weitere Daten gefunden hätte.

Verständlich?

 

[dephazz]

Sedo

Nach langer Zeit mal wieder "Hallo".
Haben zweimal solch eine Mail bekommen:

Hallo (richtige Namen mit Umlaut),

wir freuen uns, dass Sie sich ein Sedo Kundenkonto angelegt haben!

Damit Sie Ihr Angebot für die Domain abgeben können, müssen Sie zuerst Ihre E-Mail-Adresse bestätigen.

Bitte tragen Sie dazu den Aktivierungscode in die Eingabemaske auf der Seite zur Bestätigung Ihrer E-Mail-Adresse ein.

***************************
Aktivierungscode:
***************************


Die Gültigkeit dieses Codes ist begrenzt. Bitte aktivieren Sie Ihr Kundenkonto so schnell wie möglich.

Klicken Sie auf den untenstehenden Link oder kopieren Sie diesen in die Adresszeile Ihres Browsers, falls Sie sich gerade nicht auf der Seite zur Bestätigung Ihrer E-Mail-Adresse befinden.
http://sedo.de/confirm_account.php?challenge= /usw..../

Bei weiteren Fragen gehen Sie bitte auf support.sedo.de

Mit freundlichen Grüßen
Ihr Sedo-Team

Allerdings steht besagter Antwortbrief von Sedo noch aus, so dass von denen bisher wohl nicht alle erfasst wurden, die eine solche Mail erhalten haben.
Die Sedo-Accounts sind auch in meinem Fall schon ein paar Jahre alt und "ruhen" gewissermaßen....
Ich habe ergo keine Domains im Angebot, so dass nur ein Ankauf unter meinem Accoount möglich wäre - und das macht ja m. E. wohl keinen Sinn.

Gruß

dephazz

 

[lostLobster]

Ansonsten ist es offensichtlich, dass der Angreifer eben doch weitere Daten (nämlich mindestens den Namen des Accountinhabers) erbeutet hat.

Kann ich nur bestätigen, Mail enthielt meinen korrekten Vor- und Nachnamen. Dieser war/ist nicht in der bei sedo hinterlegten Emailadresse enthalten.

Es wäre schön, wenn sedo mit offenen Karten spielen würde.

Carsten
,der sich gerade fragt, welche sensiblen Daten sedo von ihm hat :hmmmm:

 

[webadressmiete]

Kann ich nur bestätigen, Mail enthielt meinen korrekten Vor- und Nachnamen. Dieser war/ist nicht in der bei sedo hinterlegten Emailadresse enthalten.

Es wäre schön, wenn sedo mit offenen Karten spielen würde.

Carsten
,der sich gerade fragt, welche sensiblen Daten sedo von ihm hat :hmmmm:

Ich verstehe die Logik nicht: Wenn der Angreifer Sedo dazu gebracht hat, dass Sedo Euch eine Mail geschickt hat, kann die Mail ja Informationen enthalten, die zwar Sedo von Euch hat, aber die der Angreifer aufgrund dieses Mailversandes nicht hat oder erhält.

 

[wtrade]

Unsere sofortige Überprüfung hat ergeben, dass es dem Angreifer gelungen ist, ausschließlich in den Besitz Ihrer betroffenen E-Mail-Adresse zu gelangen. ...Das Sicherheitsleck wurde direkt nach Angriff geschlossen und weitere Datenabgriffe konnten erfolgreich abgewehrt werden.

Was heisst "direkt nach Angriff"? Bei den Emails, die ich erhalten habe, waren mehrere Stunden Zeitunterscheid.

Weitere Daten sind NICHT kompromittiert worden, d.h. keine Passwörter oder sonstige Account-Daten.
... Das Anklicken des in der unautorisierten E-Mail angegeben Links hat keine Auswirkungen.

Nachdem ich mich anhand der IP vergewissert habe, ob die Mails tatsächlich vom Sedo-Server kamen, habe ich mir eine der eMails, die an mich versandt wurden rausgesucht und auf den Link geklickt.

Ich war SOFORT eingeloggt. Es war also keine reine "Aktivierung" des Accounts, in der noch nach Benutzernamen und Passwort zum Einloggen gefragt wurde, nein ich war sofort drin in dem betreffenden vorhandenen Sedo-Account !
Ich konnte alle alten Daten sehen zu einem Transfer, fuer den Sedo damals eigens den Account fuer mich angelegt hat.

Wenn es dem Angreifer gelungen sein sollte, diese ausgesandten Mails irgendwie mitzulesen, haette er sich ganz einfach einloggen koennen und sich in den betreffenden Sedo-Accounts umsehen koennen...

 

[lostLobster]

Ich verstehe die Logik nicht: Wenn der Angreifer Sedo dazu gebracht hat, dass Sedo Euch eine Mail geschickt hat, kann die Mail ja Informationen enthalten, die zwar Sedo von Euch hat, aber die der Angreifer aufgrund dieses Mailversandes nicht hat oder erhält.

Marc bzw. Sedo schreiben ganz eindeutig, dass der Angreifer in den Besitz von Daten (nur Mailadressen) gekommen ist. Entweder ist das unglücklich formuliert, wenn es nur um das Auslösen eines Versands über das System von sedo geht, oder es konnten halt auch sonstwie Daten ausgelesen werden.