Spielestudio Ubisoft gehackt

Der Spieleentwickler und Publisher Ubisoft ist zum zweiten Mal in diesem Jahr einem Hackerangriff zum Opfer gefallen. Die Angreifer konnten sich dabei Zugriff auf die Kundendatenbank verschaffen. Ubisoft empfiehlt seinen Kunden daher dringend, ihre Passwörter zu ändern – insbesondere auch, sollten sie die gleichen Passwörter andernorts verwenden.

In einer E-Mail informierte das Unternehmen seine Nutzer darüber, dass eine Datenbank mit ihren Namen, E-Mail-Adressen und „verschlüsselten Passwörtern“ kompromittiert wurde. Laut Ubisoft kamen die Angreifer dabei aber nicht an Bezahldaten: „Beachten Sie bitte, dass keine persönlichen Zahlungsinformationen bei Ubisoft gespeichert werden, so dass Ihre Guthaben- und Kreditkarteninformationen durch dieses Eindringen nicht enthüllt wurden.“

Aufgrund verschiedener Unstimmigkeiten hielten die Empfänger diese E-Mail teilweise für einen Phishing-Versuch. Der enthaltene Link zu den Sicherheitsinformationen funktionierte nicht, und das Rücksetzen des Passworts verursachte zunächst Probleme. Dazu kam, dass Ubisoft mit Watch Dogs ein Spiel angekündigt hatte, deren Akteur als Hacker in fremde Systeme eindringt.

Das Spielestudio informierte außerdem in seinem offiziellen Ubiblog über den Vorfall und beteuerte, seines Wissens habe es keine Zugriffe auf persönliche Informationen wie Telefonnummern und Wohnadressen gegeben. Das Unternehmen untersucht die Angelegenheit derzeit noch zusammen mit zuständigen Behörden und externen Sicherheitsexperten. Es hielt sich „aus Sicherheitsgründen“ mit konkreten Informationen wie etwa zur ausgenutzten Schwachstelle zurück. Unbeantwortet blieb auch, wann und wie die Attacke erfolgte. Explizite Anfragen nach dem bei der Verschlüsselung verwandten Hash-Algorithmus – und ob das Hashing mit Salt versehen wurde – blieben unbeantwortet.

Erst im April dieses Jahres hatte Ubisoft unerlaubte Zugriffe auf sein Uplay-Netzwerk einräumen müssen. Schon im Juli 2012 entdeckte Google-Sicherheitsforscher Tavis Ormandy eine Schwachstelle im Uplay-Dienst. Die Sicherheitsfirma Symantec bestätigte, dass Hacker dadurch die Kontrolle über einen Kunden-PC erlangen konnten. Ubisoft behob das Problem durch einen Patch und bestritt Vorwürfe, es habe sich bei der Schwachstelle um ein bewusst platziertes Rootkit gehandelt.

[mit Material von Michael Lee, ZDNet.com]