Publikation von Christoph Puppe
MySpace, YourSpace, OurSpace: wenig Sicherheit auf Web-2.0-Sites
Fallstudie zum großen MySpace-Phishing vom Januar 2007: Über Full Disclosure kursierte eine Textdatei mit über 56.000 Zeilen aus E-Mail-Adressen und Passwörtern. Der Autor beließ es nicht bei der Analyse fremder Daten, sondern befragte die Betroffenen selbst: Nach Deduplizierung blieben 39.000 Adressen, über 900 Benutzer antworteten. 801 von 840 gaben an, von MySpace nie über den Vorfall informiert worden zu sein, fast ein Drittel erfuhr erst durch die Umfrage von der Veröffentlichung der eigenen Zugangsdaten; im Text steht dazu das angemessene Wort: ein skandalöses Ergebnis. Die meisten Übernahmen dienten banalen Zwecken, Spam an den Freundeskreis, verunstaltete Profile, Schnüffeln in privaten Daten. Die Reaktion der Plattform kam nach zehn Tagen und traf den Falschen: MySpace ließ die DNS-Auflösung von seclists.org kappen, während andere Archive die Liste weiter auslieferten. Der Kasten zur Firmengeschichte erklärt das System: MySpace entstand aus dem Umfeld von Spam-Versendern, wuchs auf 150 Millionen Profile und ging für 580 Millionen Dollar an Murdochs News Corporation. Sicherheit war nie die Priorität, und die Rechnung zahlten die überwiegend jugendlichen Nutzer.