Bei dem von Adobe am 3. Oktober gemeldeten Hackerangriff wurden deutlich mehr Nutzerkonten kompromittiert als bisher bekannt. Ursprünglich hatte das Unternehmen eine Zahl von 3 Millionen Nutzern genannt, deren verschlüsselte Kreditkartennummern und Passwörter in die Hände von Cyberkriminellen gefallen sind. Nach Angaben des Sicherheitsexperten Brian Krebs hat sich die Zahl inzwischen auf 38 Millionen erhöht.
„Bis jetzt haben unsere Ermittlungen bestätigt, dass die Angreifer Zugang zu Adobe IDs und zu dem Zeitpunkt gültigen verschlüsselten Passwörtern von ungefähr 38 Millionen aktiven Nutzern hatten“, zitiert Krebs aus einer E-Mail der Adobe-Sprecherin Heather Edell. Alle betroffenen Kunden seien inzwischen per E-Mail benachrichtigt worden. „Wir haben außerdem alle Passwörter von Adobe IDs mit gültigen verschlüsselten Passwörtern zurückgesetzt, die in den Vorfall verwickelt waren – unabhängig davon, ob sie aktive Nutzer waren oder nicht.“
Die Angreifer erbeuteten aber auch Details zu ungültigen oder inaktiven Adobe-Konten, die in der Gesamtsumme von 38 Millionen Betroffenen noch nicht enthalten ist. Dazu zählen Krebs zufolge Konten mit ungültigen verschlüsselten Passwörtern sowie zu Testzwecken angelegte Accounts. „Wir ermitteln immer noch die Zahl der inaktiven und ungültigen Konten sowie Testkosten, die betroffen sind“, ergänzte Edell. „Die Benachrichtigung der inaktiven Nutzer dauert noch an.“
Ein weiteres Problem für Adobe ist der bei dem Angriff verloren gegangene Quellcode. Anfang Oktober hatte das Unternehmen mitgeteilt, es handele sich um Quellcode von ColdFusion und Adobe Acrobat. Nun scheint es so, als sei auch die populäre Bildbearbeitung Photoshop betroffen. „Unser Ermittlungen deuten darauf hin, dass die Hacker auch Zugriff auf einen Teil des Quellcodes von Photoshop hatten“, bestätigte die Sprecherin.
Unklar ist weiterhin, wie es den Unbekannten gelungen ist, in die Systeme von Adobe einzudringen. Es wird angenommen, dass sie auch für einen Angriff auf PR Newswire verantwortlich sind. Da sich auf den Servern, auf denen Krebs zusammen mit einem Kollegen von Hold Security die Daten von Adobe und PR Newswire entdeckt hatte, noch Dateien anderer Firmen befanden, sind weitere Enthüllungen nicht ausgeschlossen.
[mit Material von Lance Whitney, News.com]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Neueste Kommentare
1 Kommentar zu Hackerangriff auf Adobe betraf mindestens 38 Millionen Nutzer
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Es sieht nicht danach aus, als handelte es sich um Nachlässigkeit oder Unfähigkeit seitens Adobe. Das könnten wir annehmen, wenn eine unsichere Hash-Funktion oder gar keine gewählt worden wäre. Adobe hatte für die Passwörter anscheinend noch eine andere Verwendung.
Die Passwörter wurden mit Triple-DES im ECB-Modus verschlüsselt; dass bedeutet, dass ein – im Gegensatz zu Hash-Funktionen – aufwändiges Verfahren benutzt wurde, das – im Gegensatz zu Hash-Funktionen – eine schlechte Performance aufweist. Der einzige „Vorteil“ einer Verschlüsselung ist die Reversibilität. Vieles deutet darauf hin, dass das Verfahren absichtlich so gewählt wurde mit dem Ziel, die Passwörter anderweitig zu verwenden (oder andern dazu zu überlassen).
Der Klau der Daten ist nicht das einzige Problem, vielmehr ist auch die Nutzung der Passwörter durch andere vor dem Klau zu befürchten.