Im ersten Moment hatte ich ja gehofft, eine gigantische Sicherheitslücke bei einem der größen E-Commerce-Anbieter aufgedeckt zu haben – und meinem Blog mit der Veröffentlichung Millionen und Abermillionen von Besuchern zu bescheren. Kurz darauf schien mir, dass in diesem Fall das größere Leck wohl eher vor einem Meppener Bildschirm gesessen hatte. Dennoch denke ich, dass ein Shop-Anbieter wie Apple den hier begangenen Kunden-Fehler mit einfachen Mitteln ausschließen kann – und sollte.
Was ist geschehen?
Ich trage einen berühmten Namen. Naja, eigentlich nicht wirklich, aber mein Vorname war in den 60ern mal halbwegs beliebt, ich selbst bekam ihn von meinen Eltern verpasst, als seine Popularität schon auf dem absteigenden Ast war. Dennoch gibt es zahlreiche Träger dieses Namens.
Außerdem habe ich aus der Zeit bei meinem ersten Arbeitgeber eine Emailadresse, die mir schon die ein oder andere Irrläufer-Mail bescherte; die Struktur ist vorname@grosserprovider.de. Sagen wir, ich hieße Hans, dann habe ich eine Emailadresse analog zu hans@t-online.de. Immer wieder glauben nun Menschen, dass sie diese Emailadresse besitzen und senden zur Prüfung Testmails. Manche melden sich aber auch gleich bei irgendwelchen Newslettern an (*nerv).
Und wieder andere melden sich mit meiner Emailadresse, von der sie glauben, dass sie ihnen gehört, bei iTunes an – so geschehen am vergangenen Montag. Konnte ich mich darüber zunächst nur aufregen, wurde ich gestern, am Dienstag, dann aufmerksam, hatte ich doch in der Nacht eine Bestellbestätigung erhalten.
iTunes-Bestellung
Zwar nur kostenlose Artikel, aber natürlich: Der Nutzer hatte meine Email-Adresse angegeben, also bekam ich seine Bestellbestätigungen.
Und dann flüsterte mir das kleine Teufelchen auf der Schulter: Probier doch mal, ob du den Kram nicht beenden kannst, indem du sein Passwort änderst. Gesagt, getan: Ich folgte dem Link, den Apple in der Bestell-Mail zu den Account-Daten anbot, wurde nach dem Passwort gefragt, das ich natürlich nicht kannte, wählte stattdessen die Alternative “Passwort zurücksetzen”, bekam eine Mail mit einem Link, folgte diesem Link – und konnte ohne weitere Rückfrage das Passwort des Nutzers zurücksetzen und ein neues, von mir gewähltes angeben.
Email: iTunes-Passwort zurückgesetzt
Es kam keine Sicherheitsabfrage etwa nach den letzten Ziffern seiner Kreditkartennummer oder nach dem Namen seines Hundes, den er in seinen Accountdaten für solch einen oder ähnliche Zwecke ebenso angegeben hatte wie sein Geburtsdatum. Der Hund heißt übrigens Aika.
iTunes-Sicherheitsabfrage
Unterm Strich ist das Ergebnis meiner mir in den Schoß gefallenen Hack-Attacke, dass ich nach Änderung des Passworts und der Antworten auf die Sicherheitsabfragen (der Hund heißt jetzt nicht mehr Aika) nun den iTunes-Account eines anderen Menschen besitze, wenigstens über ihn verfügen kann.
Und natürlich hat der Nutzer auch seine Kreditkartendaten angegeben, die ich zwar nicht auslesen kann, weil sie von iTunes bis auf die letzten 4 Ziffern korrekt verdeckt werden. Aber ich könnte dennoch buchstäblich auf Kosten eines Namensvetters aus Meppen bei iTunes einkaufen bis der Arzt kommt – oder die Polizei, denn mir ist schon klar, dass das illegal wäre und ich über meine IP-Adresse im Zweifel identifiziert werden könnte. Außerdem bin ich ja ein guter Mensch und will niemandem Schaden zufügen.
iTunes-Accountdaten meines Namensvetters
Ich möchte die Sache nicht größer machen als sie ist. Letztlich hat den ersten und größten Fehler ein Mensch aus Meppen gemacht, der bei der Anmeldung zum iTunes-Shop eine falsche, aber existierende Email-Adresse angegeben hatte, nämlich meine.
Aber dennoch ziehe ich folgendes Fazit: Apple ließ zu, dass ich alleine mit Kenntnis dieser Email-Adresse und mit Zugriff auf das Postfach den iTunes-Account eines anderen Nutzers übernehmen konnte und nun auf dessen Kosten Produkte downloaden könnte. Es wird für das Zurücksetzen des Passworts keine Sicherheitsabfrage präsentiert, obwohl diese Daten im Account durchaus angegeben waren. Ich halte das für fahrlässig.
Ich werde als nächste Schritte Apple und den Nutzer von dem Vorgang informieren. Wenn etwas zurück kommt, werdet ihr es hier lesen können.
