Abo
  • Services:
Anzeige
Ein Kuscheltier aus der Cloudpets-Reihe
Ein Kuscheltier aus der Cloudpets-Reihe (Bild: Spiral Toys)

123456 ist ein super Passwort!

Auch bei der Passworteinrichtung war die Firma nachlässig. Zwar sind die Passwörter mit Bcrypt-gehasht auf dem System gespeichert, aber offenbar ohne Salt. Das Problem: Jedes Passwort wird akzeptiert, auch wenn es sich nur um einen einzigen Buchstaben handelt.

In der Datenbank sind sehr viele sehr einfache Passwörter zu finden, unter anderem der Klassiker "123456" sowie "abc123" und Cloudpets. Aber auch das in einem Anleitungsvideo eingegebene Demo-Passwort "qwe" tauchte nach Angaben von Hunt häufiger auf.

Anzeige

Am Ende kamen die MongoDB-Erpresser

Zu allem Überfluss wurde die Datenbank am Ende auch noch von einem Erpresser beschlagnahmt und mit einer leeren Nachricht ausgetauscht. Diese Person hat offenbar weiterhin Zugang zu allen Informationen.

Obwohl der Hersteller zwischenzeitlich die Sicherheitseinstellungen verbessert hat, ist bislang nicht bekannt, dass Spiral Toys die betroffenen Nutzer über die Probleme informiert hat. Der Aktienkurs des Unternehmens ist mittlerweile drastisch eingebrochen. Wir haben das Unternehmen um eine Stellungnahme gebeten.

In den USA muss Kinderspielzeug besonderen Anforderungen an den Datenschutz genügen, die die Handelskommission FTC entwickelt hat. Immer wieder fallen Unternehmen in diesem Bereich durch fahrlässige und technisch enorm schlecht gemachte Lösungen auf, unter anderem der Hersteller Vtech. Hersteller wie Mattel scheinen das Problem immerhin erkannt zu haben und haben ein Bug-Bounty-Programm gestartet.

Nachtrag vom 1. März 2017, 9:40 Uhr

Auf Nachfrage von Golem.de teilte der Hersteller mit: "Spiral Toys wurde am 22. Februar über einen möglichen Einbruch informiert und hat umgehend Maßnahmen ergriffen, um die Privatsphäre unserer Kunden zu schützen." Man habe auch eine interne Untersuchung angestoßen und "sofort alle bestehenden Kundenpasswörter deaktiviert". Für einen Angriff auf die Nachrichten oder Bilddaten gebe es keine Hinweise. Alle Nutzer sollen per E-Mail auf die möglicherweise kompromittierten Login-Daten hingewiesen werden und einen Link zum Zurücksetzen des Passworts erhalten. Der Hersteller widerspricht mit seinem Statement der Darstellung von Hunt, schon im Dezember informiert worden zu sein. Nach dem vollständigen Abschluss der Untersuchungen soll ein "Cybercrime-Bericht" bei der zuständigen Behörde eingereicht werden.

 MongoDB: Sprechender Teddy teilte alle Daten mit dem Internet

eye home zur Startseite
User_x 01. Mär 2017

Tutorial vs. Sachbuch. Letztendlich bekommt man nicht mal in teuren Sachbüchern alle...

theonlyone 01. Mär 2017

Die Sache mit langfristigen Kosten ist eben, im Zweifel läuft es lange (oder ewig) ohne...

Prypjat 01. Mär 2017

Kinder verstehen sowas sehr schnell. ^^ Man sollte nicht denken, wie schlau Kinder schon...

Muhaha 01. Mär 2017

Und wenn die Vorstände/Geschäftsführer dann erfahren, was jemand kostet, der sich...

ElMario 28. Feb 2017

Nett, ich war "damals" schon überrascht, wie ich die SD Karte eines Schlafapnoe Gerätes...



Anzeige

Stellenmarkt
  1. Schwarz Business IT GmbH & Co. KG, Neckarsulm
  2. MediaMarktSaturn IT Solutions, München
  3. ING-DiBa AG, Nürnberg, Frankfurt
  4. dSPACE GmbH, Paderborn


Anzeige
Hardware-Angebote
  1. 1.039,00€ + 3,99€ Versand
  2. 649,00€

Folgen Sie uns
       


  1. Grafikkarte

    Sonnets eGFX Breakaway Box kostet 330 Euro

  2. E-Commerce

    Kartellamt will Online-Shops des Einzelhandels schützen

  3. id Software

    Quake Champions startet in den Early Access

  4. Betrug

    Verbraucherzentrale warnt vor gefälschten Youporn-Mahnungen

  5. Lenovo

    Smartphone- und Servergeschäft sorgen für Verlust

  6. Open Source Projekt

    Oracle will Java EE abgeben

  7. Apple iPhone 5s

    Hacker veröffentlicht Secure-Enclave-Key für alte iPhones

  8. Forum

    Reddit bietet native Unterstützung von Videos

  9. Biomimetik

    Drohne landet kontrolliert an senkrechter Wand

  10. Schifffahrt

    Yara Birkeland wird der erste autonome E-Frachter



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Starcraft Remastered: "Mit den Protoss kann man seinen Gegner richtig nerven!"
Starcraft Remastered
"Mit den Protoss kann man seinen Gegner richtig nerven!"
  1. Blizzard Der Name Battle.net bleibt
  2. Blizzard Overwatch bekommt Deathmatches
  3. E-Sport Blizzard nutzt Gamescom für europäische WoW-Finalspiele

Game of Thrones: Die Kunst, Fiktion mit Wirklichkeit zu verschmelzen
Game of Thrones
Die Kunst, Fiktion mit Wirklichkeit zu verschmelzen
  1. HBO Nächste Episode von Game of Thrones geleakt
  2. Hack Game-of-Thrones-Skript von HBO geleakt
  3. Game of Thrones "Der Winter ist da und hat leider unsere Server eingefroren"

Radeon RX Vega 64 im Test: Schnell und durstig mit Potenzial
Radeon RX Vega 64 im Test
Schnell und durstig mit Potenzial
  1. Radeon RX Vega Mining-Treiber steigert MH/s deutlich
  2. Radeon RX Vega 56 im Test AMD positioniert sich in der Mitte
  3. Workstation AMD bringt Radeon Pro WX 9100

  1. Re: Das Spiel ist auf dem richtigen Weg!

    nachgefragt | 16:28

  2. Re: Umsatzsteuer

    Geistesgegenwart | 16:28

  3. Re: Die Menschen schauen gerne in die...

    Geistesgegenwart | 16:27

  4. Re: "Kriminelle Kampagnen werden immer raffinierter."

    azeu | 16:26

  5. Re: Besserer Geheimtipp: LawBreakers!

    nachgefragt | 16:22


  1. 16:20

  2. 15:30

  3. 15:07

  4. 14:54

  5. 13:48

  6. 13:15

  7. 12:55

  8. 12:37


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel