Mail bei MobilCom nicht sicher
Die Telefongesellschaft MobilCom kommt mit ihrem Freenet-Angebot nicht aus den Negativschlagzeilen heraus. Nicht nur, daß das Netz bundesweit nicht mehr richtig funktioniert – nein – daran sind die User mittlerweile gewöhnt.
Nach Golem-Informationen ist es Dritten ohne weiteres möglich, die private E-Mail von MobilCom-Freenet-Nutzern zu lesen, E-Mails unter ihren Namen zu versenden und empfangene E-Mails zu löschen.
Das Angriffszenario sieht wie folgt aus: Der Angreifer schreibt dem Opfer eine E-Mail an seinen E-Mailaccount bei 01019freenet.de, der einen URL-Link auf eine Webseite des Angreifers enthält. Klickt das Opfer auf diesen Link und ruft die Webseite des Angreifers auf, erhält der Server des Täters eine sogenannte Referer-Information, die die Information beeinhaltet, auf welcher Webseite das Opfer vorher war. In diesem Fall also sein E-Mailpostfach bei MobilCom.
Der Referer kann dazu benutzt werden, ohne Passwortabfrage auf das E-Mailpostfach des Opfers zu gelangen und in oben beschriebener Art und Weise die Post des Opfers zu manipulieren.
In Zusammenarbeit mit dem Informationsdienst flatrate.de(öffnet im neuen Fenster) hat Golem Network News diese Sicherheitslücke mit Einverständnis einiger eingeweihter Postfachinhaber nachvollzogen und gestern – 20 Stunden vor der Veröffentlichung dieses Artikels – MobilCom auf die Sicherheitslücke aufmerksam gemacht. Damit wurde MobilCom Gelegenheit gegeben, Schaden von seinen Kunden abzuwenden.
MobilCom hat nach der Benachrichtigung angekündigt, das Web-Mailsystem vorübergegend vom Netz zu nehmen. Bis wann der Fehler behoben und das System wieder verfügbar sein wird, ist noch nicht bekannt.
Dennoch müssen wir zumindest für die nächsten Tage davor warnen, das E-Mailpostfach von 01019 Freenet zu verwenden, da es unter Umständen weitere, aber noch unbekannte Sicherheitslücken gibt.
MobilCom ist der einzige bundesweite Anbieter eines Internetzugangs zum Pauschaltarif, der die Telefongebühren mit einschließt.
Kommentar:
Sicherheitslücken treten bei vielen Providern auf. MobilCom wird nicht der erste und auch nicht der letzte prominente Fall sein. Einen kleinen Appell können wir uns deshalb nicht verkneifen.
Es ist im Interesse der Teilnehmer und auch der Provider sinnvoll, daß mit solchen Informationen nach den ungeschriebenen Regeln der Hackermoral so behutsam wie möglich umgegangen wird und zunächst Lücken gestopft und erst danach Öffentlichkeit und damit u.U. Nachahmer informiert werden.
Man braucht nicht viel Phantasie, um sich vorzustellen, was man mit E-Mail-Lese- und Schreibrechten anderer machen kann und welche Schäden man den Betroffenen zufügen kann.