Abo
  • Services:
Anzeige
Ein Kuscheltier aus der Cloudpets-Reihe
Ein Kuscheltier aus der Cloudpets-Reihe (Bild: Spiral Toys)

123456 ist ein super Passwort!

Auch bei der Passworteinrichtung war die Firma nachlässig. Zwar sind die Passwörter mit Bcrypt-gehasht auf dem System gespeichert, aber offenbar ohne Salt. Das Problem: Jedes Passwort wird akzeptiert, auch wenn es sich nur um einen einzigen Buchstaben handelt.

Anzeige

In der Datenbank sind sehr viele sehr einfache Passwörter zu finden, unter anderem der Klassiker "123456" sowie "abc123" und Cloudpets. Aber auch das in einem Anleitungsvideo eingegebene Demo-Passwort "qwe" tauchte nach Angaben von Hunt häufiger auf.

Am Ende kamen die MongoDB-Erpresser

Zu allem Überfluss wurde die Datenbank am Ende auch noch von einem Erpresser beschlagnahmt und mit einer leeren Nachricht ausgetauscht. Diese Person hat offenbar weiterhin Zugang zu allen Informationen.

Obwohl der Hersteller zwischenzeitlich die Sicherheitseinstellungen verbessert hat, ist bislang nicht bekannt, dass Spiral Toys die betroffenen Nutzer über die Probleme informiert hat. Der Aktienkurs des Unternehmens ist mittlerweile drastisch eingebrochen. Wir haben das Unternehmen um eine Stellungnahme gebeten.

In den USA muss Kinderspielzeug besonderen Anforderungen an den Datenschutz genügen, die die Handelskommission FTC entwickelt hat. Immer wieder fallen Unternehmen in diesem Bereich durch fahrlässige und technisch enorm schlecht gemachte Lösungen auf, unter anderem der Hersteller Vtech. Hersteller wie Mattel scheinen das Problem immerhin erkannt zu haben und haben ein Bug-Bounty-Programm gestartet.

Nachtrag vom 1. März 2017, 9:40 Uhr

Auf Nachfrage von Golem.de teilte der Hersteller mit: "Spiral Toys wurde am 22. Februar über einen möglichen Einbruch informiert und hat umgehend Maßnahmen ergriffen, um die Privatsphäre unserer Kunden zu schützen." Man habe auch eine interne Untersuchung angestoßen und "sofort alle bestehenden Kundenpasswörter deaktiviert". Für einen Angriff auf die Nachrichten oder Bilddaten gebe es keine Hinweise. Alle Nutzer sollen per E-Mail auf die möglicherweise kompromittierten Login-Daten hingewiesen werden und einen Link zum Zurücksetzen des Passworts erhalten. Der Hersteller widerspricht mit seinem Statement der Darstellung von Hunt, schon im Dezember informiert worden zu sein. Nach dem vollständigen Abschluss der Untersuchungen soll ein "Cybercrime-Bericht" bei der zuständigen Behörde eingereicht werden.

 MongoDB: Sprechender Teddy teilte alle Daten mit dem Internet

eye home zur Startseite
User_x 01. Mär 2017

Tutorial vs. Sachbuch. Letztendlich bekommt man nicht mal in teuren Sachbüchern alle...

theonlyone 01. Mär 2017

Die Sache mit langfristigen Kosten ist eben, im Zweifel läuft es lange (oder ewig) ohne...

Prypjat 01. Mär 2017

Kinder verstehen sowas sehr schnell. ^^ Man sollte nicht denken, wie schlau Kinder schon...

Muhaha 01. Mär 2017

Und wenn die Vorstände/Geschäftsführer dann erfahren, was jemand kostet, der sich...

ElMario 28. Feb 2017

Nett, ich war "damals" schon überrascht, wie ich die SD Karte eines Schlafapnoe Gerätes...



Anzeige

Stellenmarkt
  1. Bundeskriminalamt, Meckenheim
  2. Bosch SoftTec GmbH, Hildesheim
  3. FMB-Blickle GmbH, Villingen-Schwenningen
  4. Universitätsmedizin der Johannes Gutenberg-Universität Mainz, Mainz


Anzeige
Blu-ray-Angebote
  1. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)
  2. (u. a. Logan Blu-ray 9,97€, Deadpool Blu-ray 8,97€, Fifty Shades of Grey Blu-ray 11,97€)

Folgen Sie uns
       


  1. Fritzbox 7583

    AVM zeigt neuen Router für diverse Vectoring-Techniken

  2. Halbleiterwerk

    Samsung rüstet Fab 3 für sechs Milliarden US-Dollar auf

  3. Archos Hello

    Smarter Lautsprecher mit vollwertigem Android

  4. Automaton Games

    Mavericks will Battle Royale für bis zu 400 Spieler bieten

  5. Sipgate

    App Satellite hat Probleme mit dem Vodafone-Netz

  6. AMDs Embedded-Pläne

    Ein bisschen Wunschdenken, ein bisschen Wirklichkeit

  7. K-1 Mark II

    Pentax bietet Sensorwechsel für seine Vollformat-DSLR an

  8. Ohrhörer

    Neue Airpods sollen Hey Siri unterstützen

  9. Amazon Go

    Sechs weitere kassenlose Supermärkte geplant

  10. Elektromobilität

    UPS arbeitet an eigenem elektrischen Lieferwagen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Age of Empires Definitive Edition Test: Trotz neuem Look zu rückständig
Age of Empires Definitive Edition Test
Trotz neuem Look zu rückständig
  1. Echtzeit-Strategie Definitive Edition von Age of Empires hat neuen Termin
  2. Matt Booty Mr. Minecraft wird neuer Spiele-Chef bei Microsoft
  3. Vorschau Spielejahr 2018 Zwischen Kuhstall und knallrümpfigen Krötern

Homepod im Test: Smarter Lautsprecher für den Apple-affinen Popfan
Homepod im Test
Smarter Lautsprecher für den Apple-affinen Popfan
  1. Rückstände Homepod macht weiße Ringe auf Holzmöbeln
  2. Smarter Lautsprecher Homepod schwer reparierbar
  3. Smarter Lautsprecher Homepod-Reparaturen kosten fast so viel wie ein neues Gerät

HP Omen X VR im Test: VR auf dem Rücken kann nur teils entzücken
HP Omen X VR im Test
VR auf dem Rücken kann nur teils entzücken
  1. 3D Rudder Blackhawk Mehr Frags mit Fußschlaufen
  2. Kreativ-Apps für VR-Headsets Austoben im VR-Atelier
  3. Apps und Games für VR-Headsets Der virtuelle Blade Runner und Sport mit Sparc

  1. Re: und lidl & co. bekommen nix auf die kette

    AnDieLatte | 11:40

  2. Re: Daumen hoch Pentax

    Clown | 11:38

  3. Re: Bin ungern ein Spielverderber

    DerSchwarzseher | 11:36

  4. Re: Ware zurückstellen

    AnDieLatte | 11:34

  5. Viermal mehr Spieler

    bastie | 11:30


  1. 11:29

  2. 11:07

  3. 10:52

  4. 10:38

  5. 09:23

  6. 08:40

  7. 08:02

  8. 07:46


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel