Humble-Konto gehackt ...

    Seit ein paar Tagen bekomme ich ständig Meldungen wie "Du hast ein neues Passwort angefordert" ohne es getan zu haben. Da dachte ich erstmal nur, Jemand spielt mit meiner Email-Adresse und schaut, wo ich überall angemeldet bin, um Schaden anzurichten.
    Dies scheint Heute auch gelungen zu sein. Obwohl ich nichts dergleichen getan habe, wurde mein Humble-Konto übernommen. Wie derjenige das Passwort herausfand und die dazugehörige Adresse änderte, ist mir ein Rätsel. Fakt ist, ich komme nicht mehr rein. Ok, dort sind einige ungelöste Spielekeys, die diejenigen abgreifen können. Doch viel schwerwiegender ist die Frage, wie kam derjenige an die Daten? Ich habe meine Daten auf keinen seltsamen Seiten eingegeben, um für Jemanden zu voten, oder ähnliches. Und eigentlich habe ich überall, wo es möglich ist, auch einen 2FA aktiviert. (HB bietet das aber glaube ich nicht an, oder ich habe es bisher nicht gesehen. )

    Lasse jetzt erstmal alle möglichen Virenscanner urchlaufen. :face_with_steam_from_nose::face_with_symbols_on_mouth:

    Dann weiss ich nicht, warum ich es nicht aktiviert hatte. Das werde ich wohl nicht mehr herausfinden. :face_with_symbols_on_mouth::face_with_symbols_on_mouth::dash::dash:

    Mein Account wird wohl abgeräumt sein, sollte ich ihn wiederbekommen. ;(

    Zum Glück habe ich alle Spiele immer Aktiviert, die ich haben wollte.

    Wäre da aber nicht die erste Amtshandlung das Passwort zu resetten sowie das Passwort deiner dort verwendeten Mail Adresse? Da kannst du zumindest schon mal den Hahn zu drehen.
    Und Cheffe hats schon geschrieben, ja, Humble Bundle hat 2FA. Hab ich ebenfalls aktiviert.

    Mir wurde vor ein paar Jahren der GMX Account gekapert. Die erstellen dann auch Filter damit du keine Mails bekommst wegen Änderungen an bestimmten Konten. Da sind sie schon ziemlich auf Zack. :face_with_steam_from_nose:

    Zitat von BockwurstWilly

    Wäre da aber nicht die erste Amtshandlung das Passwort zu resetten sowie das Passwort deiner dort verwendeten Mail Adresse? Da kannst du zumindest schon mal den Hahn zu drehen.
    Und Cheffe hats schon geschrieben, ja, Humble Bundle hat 2FA. Hab ich ebenfalls aktiviert.

    Mir wurde vor ein paar Jahren der GMX Account gekapert. Die erstellen dann auch Filter damit du keine Mails bekommst wegen Änderungen an bestimmten Konten. Da sind sie schon ziemlich auf Zack. :face_with_steam_from_nose:

    Wie es scheint, hate ich doch eine 2FA, denn die Sicherheitsnummer ist angekommen. Der Sack hat als erstes die Emailadresse geändert und ich weiss nicht, wie der das angestellt hat. Es sei denn, der hatte Zugang zu meiner Email Adresse. Dort habe ich schon das Passwort geändert.

    Ich könnte mir vorstellen, dass einfach angegeben wurde, keinen Zugriff mehr auf die bei Humble hinterlegte E-Mail-Adresse zu haben, sodass diese dann durch die Diebe geändert wurde.

    Es ist halt ein Jammer.....wenn ich mir mien E-Mail Postfach anschau,jeden Tag mindestens 32 "Anmelde/Log In versuchs" Warnungen,nur weil ich
    Windows 11 meinen Standort "untersagt" habe....und Google ihn einfach nicht von mir bekommt...jetzt ratet der jedesmal,wenn ich Google aufrufe im Umkreis von 30 - 40 km herum,wo ich denn wohl her sein könnte...und jeder Anmeldeversuch endet in einer "Warnung !!!"

    ..und mitten drin in diesen 4.287 Mails mit diesen Warnungen finde ich zufälligerweise von UBI Soft eine Mail,das "jemand vermutlich" meinen Account gehackt hat,da kürzlich eine Passwortanfrage stattfand...

    ....ja.....von MIR.....weil ich nach über 6 Monaten Inaktivität mein Passwort vergessen habe und "Origins" spielen wollte !!!!!

    Wie soll man da rausfinden,WAS nun echt ist und WAS nicht ? ;P:rolleyes:

    Aja,ich verstehe...ich brauch zum Schutz meiner Daten nur überall meine "Daten" angeben............................super.:rolleyes::thumbup:

    Einmal editiert, zuletzt von Alexander1970 (6. September 2024 um 08:55)

    Ich finde diese Warnungen grundsätzlich nicht verkehrt. Wenn sich das aber bei Dir so häuft, ist das natürlich extrem nervig.

    Zitat von Amboss76

    Ich kann mir nicht vorstellen, dass die das so einfach machen.

    Hoffe ich auch.

    Einmal editiert, zuletzt von arcelk (6. September 2024 um 09:09) aus folgendem Grund: Ein Beitrag von arcelk mit diesem Beitrag zusammengefügt.

    Zitat von PoooMukkel

    Humble Bundle hat 2fa. Ich habe sie aktiviert.

    2FA ist auch nicht das Mittel aller Dinge. Siehe EA oder auch Blizzard Accounts und deren Sicherheit. Wie oft werden da Accounts geknackt von Usern. Meiner war auch schon weg obwohl 2 Wege Auth etc. Passwort 26 Stellen lang mit allen möglichen Zeichen. Nicht wieder verwendet etc. Meistens gehen solche Dinge über Webseiten wo Login Daten geleakt werden.


    Bestes Beispiel ist eine Italienische Seite die ich mal hatte, dort fand man komplette Daten zu EA Accounts mit deren Spielen die da drauf waren, aber auch Netflix, Disney Plus und Mail Anbieter Account Dumps. Also da wird einer sowas in die Finger bekommen haben und es durchgetestet haben. 2FA kann man in den meisten Fällen sehr einfach aushebeln, indem man sagt das Handy für 2FA sei defekt. ^^ Und man nutze die Mail Adrersse ;) EA hat sogar dieses Verfahren deaktiviert in dem ein Fremder auf der Hotline angerufen hat und sagte man komme nicht mehr rein aber man habe alle anderen Infos die ma brauch. Dank der Netten Seite die sowas geleakt hat und auch immer noch macht. Und Zack war 2FA Deakrtiviert. EA ist da sehr einfach gestrickt. Du hast die passenden Info dann bist du auch der Besitzer ;)

    Es reicht das deinje Mail Adresse bzw. der Anbieter mal gehackt wurde und dort deine Daten zu sehen waren. Und du denkst nicht mehr dran diese zu ändern-.

    Zitat von Syntafin

    Hast du denn von Humble eine entsprechende Mail vor der Übernahme erhalten? Falls ja, weißt du wie sie es gemacht haben.

    Noch bin ich mir da nicht sicher. Vermutlich wäre ein Zugang zu meiner E-Mail erforderlich, das wäre aber noch seltsamer, da der E-Mail Account auch über 2FA abgesichert ist und die abgefragte Zahl auf einen anderen Mail Account von anderem Anbieter kommt. Und ja, es sind 3 Mails da, die erste sagt, Jemand hat eine neues Passwort angefordert, dann eine die besagt, dass sich Jemand in der Ukraine bei mir eingelogt hat und die letzte, dass auf meinem Konto die Email auf eine mit der Endung .ru geändert wurde.

    Ab da war es auch nicht möglich was zu unternehmen. Wäre ich anwesend, hätte ich vielleicht was tun können, so aber nicht.


    Zitat von PoooMukkel

    Badseb
    Ich habe mal ein neues Thema zu deinem Vorfall erstellt. Sonst geht das im Smalltalk-Thema unter.

    Hast du denn eine Chance, deinen Account zurückzubekommen? Was sagt der Support? :/

    Danke. Der Support gibt an, bis zu 5 Werktage!!!!!! :face_with_symbols_on_mouth::face_with_symbols_on_mouth::face_with_symbols_on_mouth: zu brauchen, um zu antworten. Da kann ich ja lange warten, bis mein Ticket bearbeitet wird.

    Einmal editiert, zuletzt von Badseb (6. September 2024 um 13:35)

    Zitat von arcelk

    Ich finde diese Warnungen grundsätzlich nicht verkehrt. Wenn sich das aber bei Dir so häuft, ist das natürlich extrem nervig.

    Das ist bei mir genauso. Es kommt immer die Warnung es "Es hat jemand versucht auf Ihr ... anzumelden, ... oder Passwort wurde geändert" bla bla etc.. Dabei bin ich das in der Regel selbst. Tja, man darf nicht zu viele Geräte haben, Handy, Laptop, Notebook, Tablet, PC usw.. Mein Amazon-Konto wurde schon zweimal gehackt, obwohl ich E-Mail und Passwort (jetzt alle zwei Monate) gewechselt habe bzw. wechseln tue, dabei befindet sich auf mein Computer gar keine Zugangs - Daten von irgendetwas. Steam wurde schon mehrmals gehackt, jetzt nur noch zweifach Anmelden, Passwort und Bestätigungscode den ich dann auf mein handy bekomme.

    Zitat von LiquidBurn

    Siehe EA oder auch Blizzard Accounts und deren Sicherheit. Wie oft werden da Accounts geknackt von Usern. Meiner war auch schon weg obwohl 2 Wege Auth etc. Passwort 26 Stellen lang mit allen möglichen Zeichen. Nicht wieder verwendet etc. Meistens gehen solche Dinge über Webseiten wo Login Daten geleakt werden.


    ... dieses Verfahren deaktiviert in dem ein Fremder auf der Hotline angerufen hat und sagte man komme nicht mehr rein aber man habe alle anderen Infos die ma brauch. Dank der Netten Seite die sowas geleakt hat und auch immer noch macht. Und Zack war 2FA Deakrtiviert. EA ist da sehr einfach gestrickt. Du hast die passenden Info dann bist du auch der Besitzer ;)

    Das kann ich bestätigen, habe diese Erfahrung auch schon machen müssen.

    Einmal editiert, zuletzt von TheRaven1 (6. September 2024 um 14:35) aus folgendem Grund: Ein Beitrag von TheRaven1 mit diesem Beitrag zusammengefügt.

    Bitte bedenkt, dass ein Angreifer nicht zwangsläufig Anmeldedaten braucht. Tokens aus Session-Cookies reichen vollkommen aus. Und damit umgeht man auch Two- bzw. Multi-Factor-Auth. Aus Erfahrung kann ich sagen: Unter Windows schaut öfters in den Taskmanager, ob irgendwelche Hintergrundprogramme laufen, die überhaupt nichts zu suchen haben. Zum Beispiel Node.exe. Das Programm ist Open Source und völlig harmlos. Und wird auch von keinem Anti-Virus-Programm oder Malware als "böse" eingestuft. Aber zusammen mit Registry-Einrägen und einem simplen Javascript, ist das schon eine mächtige Schnüffelsoftware. Und die Schnüffelsoftware arbeitet auf User-Ebene und braucht keine Admin-Rechte.

    Und das soll ein "normaler" User alles verstehen und können und kennen?:rolleyes:

    Ehrlich, scheiß auf dieses überkomplexe 2-3-4-FU-Gedöns.:shit:

    Die Datenbankbetreiber müssen ihren Laden sicher halten und für Nutzerschäden haftbarer gemacht werden.:face_with_monocle:

    Aber wichtig ist natürlich auch ein eigenes Sicherheitsverständnis und so Dinge wie Skriptblocker, Cookies löschen, Abmelden, sollte selbstverständlich sein.:nerd:

    Zitat von Badseb

    Noch bin ich mir da nicht sicher.

    Die Aussage hier, mit der Erklärung danach sagt für mich aus: Du hast eine Passwort vergessen Email erhalten.

    Dann.... Ja, leider weiß man dann von welcher Postkarte sie den Link haben zum ändern des Passwortes, wer sich ein wenig damit beschäftigt wird auch ohne Zugriff auf dein Mailkonto die Email erhalten und nutzen. Es muss ja nur eine Stelle undicht sein und die Postkarte wird gefunden auf dem Weg von A nach B und macht dann eben einen Umweg über C.

    (Ich vermeide jetzt die Problematik hier groß auszubreiten, aber das ist eine mittlerweile gängige Methode, da viele Anbieter keine Transportverschlüssung verwenden und die von mir Postkarte genannten E-Mails im Klartext durch das Netz wandern)

    Das Problem ist, dass es mit der fortschreitenden Digitalisierung für Kriminelle (aus irgendwelchen Schurkenstaaten) immer lukrativer wird, persönliche Informationen und gar ganze Identitäten zu stehlen.

    Es wird also immer komplexer und schwieriger sich sinnvoll gegen (alle) Angriffsvektoren zu schützen.
    AI beschleunigt diese ganze Thematik noch zusätzlich.

    Es bleibt also spannend, wie die Welt wohl in ein paar Jahren aussehen mag...