Datenleck: Xbox-Lücke ermöglichte Auslesen von E-Mail-Adressen

Die E-Mail-Adressen von anderen Xbox-Nutzern konnten über einen einfachen Trick ausgelesen werden.

Artikel veröffentlicht am ,
Über eine Sicherheitslücke konnte herausgefunden werden, wer hinter einem Gamertag steckt.
Über eine Sicherheitslücke konnte herausgefunden werden, wer hinter einem Gamertag steckt. (Bild: Mohamed Hassan/Pixabay)

Eigentlich sollten Dritte auf der Xbox-Plattform nur das Gamertag - so wird der Spieleravatar im Microsoft-Universum genannt - sehen, die E-Mail-Adresse, mit der sich die betroffene Person registrieren soll, bleibt privat. Über eine Sicherheitslücke auf Microsofts Xbox-Webseite war es jedoch möglich, die E-Mail-Adressen auszulesen. Entdeckt wurde die Lücke von mehreren Personen unabhängig voneinander. Mittlerweile wurde sie geschlossen.

Stellenmarkt
  1. IT Support Engineer (m/w/d)
    Amazon Deutschland Transport GmbH, verschiedene Standorte
  2. Product Owner - Media Solutions (m/f/d)
    Cataneo GmbH, München
Detailsuche

Bis dahin musste nur die Webseite enforcement.xbox.com besucht werden, eine Streitschlichtungsstelle für Microsofts Gamercommunity. Bei einem Login wird ein Cookie gesetzt, in dem Informationen über die Websitzung abgelegt werden, so dass bei einem erneuten Besuch der Webseite kein erneutes Login verlangt wird. Wurde das Xbox-User-ID-Feld (XUID) in diesem Cookie bearbeitet, konnten sich Dritte die E-Mail-Adresse zu anderen Gamertags anzeigen lassen.

Das Problem wurde von verschiedenen Personen an Microsoft gemeldet. Diese haben das Problem serverseitig gelöst und verschlüsseln die XUID nun in besagtem Cookie. Das Onlinemagazin Motherboard berichtet von einem ähnlichen Fehler in Xbox-Live, nennt jedoch keine Details. Auch dieser soll mittlerweile beseitigt worden sein.

Hacking & Security: Das umfassende Handbuch. 2. aktualisierte Auflage des IT-Standardwerks (Deutsch) Gebundene Ausgabe

E-Mail-Adressen können für Belästigungen oder Doxing missbraucht werden

Mit der E-Mail-Adresse können die Betroffenen beispielsweise belästigt oder gemobbt werden. Verwenden Betroffene eine E-Mail-Adresse, die ihren Klarnamen enthält, konnte auf diese Weise das Gamertag mit einer realen Person in Verbindung gebracht werden. Auch kann nach der Verwendung der gleichen E-Mail-Adresse in verschiedenen Kontexten gesucht werden. Letztlich kann die Adresse auch für Doxing-Angriffe verwendet werden.

Golem Akademie
  1. Einführung in die Programmierung mit Rust
    21.-24. September 2021, online
  2. Masterclass: Data Science mit Pandas & Python
    9./10. September 2021, online
  3. Data Engineering mit Apache Spark
    27.-28. September 2021, online
Weitere IT-Trainings

Bei Instagram konnten 2017 ebenfalls die E-Mail-Adressen über eine Sicherheitslücke abgefragt werden. Damals wurden diese massenhaft abgefragt und in einer durchsuchbaren Datenbank veröffentlicht. Anschließend wurden sie für das Doxing von Instagram-Promis, also das Veröffentlichen persönlicher Daten mit bösartigen Absichten, genutzt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Luftsicherheit
Wenn plötzlich das Foto einer Waffe auf dem iPhone erscheint

Ein Jugendlicher hat ein Foto einer Waffe per Apples Airdrop an mehrere Flugpassagiere gesendet. Das Flugzeug wurde daraufhin evakuiert.

Luftsicherheit: Wenn plötzlich das Foto einer Waffe auf dem iPhone erscheint
Artikel
  1. Black Widow: Scarlett Johansson verklagt Disney
    Black Widow
    Scarlett Johansson verklagt Disney

    Scarlett Johansson hat wegen des Veröffentlichungsmodells von Black Widow Klage eingereicht. Disney nennt das Verhalten "herzlos".

  2. VW ID.4 im Test: Schön brav
    VW ID.4 im Test
    Schön brav

    Eine Rakete ist der ID.4 nicht. Dafür bietet das neue E-Auto von VW viel Platz, hält Spur und Geschwindigkeit - und einmal geht es sogar sportlich in die Kurve.
    Ein Test von Werner Pluta

  3. Kryptowährung: Paar will Ethereum verklagen, weil es nicht an Coins kommt
    Kryptowährung
    Paar will Ethereum verklagen, weil es nicht an Coins kommt

    3.000 Ether kaufte ein Paar 2014. Doch den Schlüssel zum Wallet will es nie erhalten haben. Jetzt sammeln die beiden Geld, um Ethereum zu verklagen.


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Mega-Marken-Sparen bei MediaMarkt (u. a. Lenovo & Razer) • Tag der Freundschaft bei Saturn: 1 Produkt zahlen, 2 erhalten • Razer Deathadder V2 Pro Gaming-Maus 95€ • Alternate-Deals (u. a. Kingston 16GB Kit DDR4-3200MHz 81,90€) • Razer Kraken X Gaming-Headset 44€ [Werbung]
    •  /