Ebay-Kleinanzeigen Account gehackt

[bountykiller]

Hallo Zusammen,

nach vielen Jahren im Internet ohne Probleme hat es mich auch mal erwischt. Mein Kleinanzeigen-Account wurde übernommen. Ich nutze Kleinanzeigen am iPad iPhone über die entsprechende App mit iOS 10.2.1 sowie gelegentlich an einem Macbook mit OSX 10.12.3. Am Macbook habe ich immer die Funktion Passwort nicht speichern gewählt und muss somit jedesmal das Passwort eingeben. Ich habe Kleinanzeigen sicherlich auch ein, zweimal auf einer Windows 10 Bootcamp-Partition und sehr selten auf dem Rechner meines Schwiegervaters und Opas genutzt. Das ist aber bereits Monate her. Alle Rechner haben Virensoftware an Bord.

Gemerkt habe ich das kapern meines Accounts durch Anfragen von 2 Käufern die ein Auto von mir kaufen wollten. Diese Anzeige wurde vom "Übernehmer" geschaltet. Zusätzlich wurde die Anzeige für 2,95€ gepusht und natürlich als Erstes mein Passwort geändert und alle meine Anzeigen gelöscht. Es ist mir ein Rätsel wie das möglich war. Das ändern des Passwortes ist ja nur möglich wenn Jemand mein Passwort kennt oder an einem Rechner mit gültigem Login mein Passwort ändert.

Mein Kleinanzeigen-Account hat jetzt den Status in "Nutzerkonto eingeschränkt". Die Übernahme meines Accounts habe ich Ebay am 15.02.2017 gemeldet bisher aber keine Rückantwort erhalten. Vorbeugend habe ich mein GMAIL-Account Passwort geändert und auf die 2-Faktor Anmeldung aktiviert.

Hat Jemand von Euch ähnliches erlebt und Erfahrung ob eine Wiederbelebung meines Accounts wahrscheinlich ist?

Gruß
Bounty

 

[Pferdle]

Ich würde mich nicht um eine Wiederbelebung bemühen. Account löschen lassen.
Das ebay nicht antwortet...ist irgend wie typisch.
Leg einen neuen Account an. Theoretisch kann man hunderte Accounts anlegen.

Um einen Account zu übernehmen, muß lediglich die zugehörige E-Mail bekannt sein.
Es ist also relativ einfach. Über "Einloggen" bzw "Passwort vergessen" wird ohne weitere Nachfrage ein neues Passwort an die zugehörige E-Mail versendet. Definitiv eine Sicherheitslücke.
Beim normalen Ebay muß man dazu zusätzlich eine Zusatzfrage beantworten.
Ich vermute mal stark, daß genau diese Lücke ausgenutzt wurde. Da hat niemand Dein Passwort "gefunden" oder geklaut, sondern Deine E-Mail benutzt. Das ist relativ einfach bzw gibt man die gern unbedarft weiter.
Bei Anfragen bzw der Kommunikation über Ebay-Kleinanzeigen immer über das anzeigeneigene Mailsystem kommunizieren! Nie die eigene tatsächliche Adresse weiter geben!

 

[MartinMenke]

Nur mal dumm gefragt, wie soll jemand meine E-Mail benutzen? Dazu müsste ja mein Email Account gehackt sein, oder eine Man-in-the Middle Attacke zwischen ebay-Kleinanzeigen und meinem Mailprovider installiert sein. So einfach ist das nicht.

 

[Pferdle]

Das ist richtig.
Man muß die entsprechende E-Mail abfangen.
Das können Geheimdienste und Behörden aber bereits seit über 10 Jahren. Halte ich für den "einfachsten" Weg für Leute mit ein wenig Kenntnisstand.

 

[cyberjonny]

Halte ich für den "einfachsten" Weg für Leute mit ein wenig Kenntnisstand.

Dann lass mal hören, wie du das machen würdest...

 

[moronoxyd]

Das können Geheimdienste und Behörden aber bereits seit über 10 Jahren. Halte ich für den "einfachsten" Weg für Leute mit ein wenig Kenntnisstand.

Daß Geheimdieste das können bedeutet nicht, daß ein 08/15-Ebaybetrüger das mal eben kann.
Diejenigen, die diese Möglichkeit haben, würden sie eher nicht mit Ebay-Betrug verschwenden, sondern z.B. Bankkonten plündern oder ähnliches.

 

[Pferdle]

Der Account wurde komplett übernommen. Also auch das Passwort geändert. Die Passwortänderung geht aber nur über die mit dem Account verbundene E-Mail. Diese E-Mail hat aber der alte Accountbesitzer nicht bekommen, wurde demnach ebenfalls abgegriffen.
Selbst mit geklauten alten Passwort, zB vom Rechner des alten Besitzers, kann man das Passwort nicht ohne Mail-Bestätigung ändern.
Das wäre Variante eins.

Natürlich kann es auch sein, daß Kleinanzeigen selbst gehackt wurde, was ebay vermutlich nie zugeben wird.

 

[cyberjonny]

Ich vermute eher, dass der TE selbst bzw. dessen Rechner die Schwachstelle ist. Entweder, weil für Ebay Kleinanzeigen und Mail-Account die gleichen/ähnlichen bzw. zu schwache Passwörter verwendet wurden, oder, weil der Rechner an sich kompromittiert ist. Dieses Szenario erscheint mir jedenfalls deutlich wahrscheinlicher, als dass Ebay Kleinanzeigen gehackt oder eine Mail abgefangen wurde. Wie moronoxyd bereits schrieb: Jemand, der die Fähigkeiten und Mittel besitzt, um sowas zu tun, wird sich damit bestimmt keinen Ebay-Kleinanzeigen-Account schnappen, von dem er quasi nichts hat.

 

[dödel]

Jemand, der die Fähigkeiten und Mittel besitzt, um sowas zu tun, wird sich damit bestimmt keinen Ebay-Kleinanzeigen-Account schnappen, von dem er quasi nichts hat.

Würde ich so nicht mal sagen. 1000 kleine Fälle in denen der Hacker je 100€ abzockt sind deutlich unauffälliger als ein großes Ding bei dem 100k€ abgezockt werden. Bei den kleineen "Gaunereien" ist es erstens unwahrscheinlich dass überhaupt die Verfolgungsbehörden eingeschaltete werden und zweitens: wenn doch, dann ist die Wahrscheinlichkeit sehr groß, dass jeder dieser kleinen Fälle im Sande verläuft und nicht weiter verfolgt wird (Einstellung weil es kein öffentliches Interesse gibt oder weil die einzusetzenden Mittel im keinen Verhältnis zum Schaden stehen).

 

[Pferdle]

Ich vermute eher, dass der TE selbst bzw. dessen Rechner die Schwachstelle ist. Entweder, weil für Ebay Kleinanzeigen und Mail-Account die gleichen/ähnlichen bzw. zu schwache Passwörter verwendet wurden, oder, weil der Rechner an sich kompromittiert ist.

Dann wäre allerdings noch mehr Vorsicht geboten.
Es wurden dann die Kleinanzeigen-Daten und auch die Mail-Zugangsdaten entwendet.
Nur mit diesen beiden Sachen zusammen kann jemand das Passwort ändern.

Aber dann kann der TE gleich alle seine Daten/Passwörter ändern und am besten gleich das Betriebssystem neu installieren.
Das wäre schon durchaus möglich. Von dem Horror wollte ich nur nicht aus gehen :thumbup:

Würde ich so nicht mal sagen. 1000 kleine Fälle in denen der Hacker je 100€ abzockt sind deutlich unauffälliger

Sehe ich auch so.
Ist eigentlich genau die typische Masche von Kleinkriminellen. Die Fallen nicht mit großen Summen auf.
Mit einer Lotterie in Malta zu nur €5,- je Lotto verdient man Millionen und kommt am Ende fast ungeschoren davon.

 

[cyberjonny]

Würde ich so nicht mal sagen. 1000 kleine Fälle in denen der Hacker je 100€ abzockt sind deutlich unauffälliger als ein großes Ding bei dem 100k€ abgezockt werden. Bei den kleineen "Gaunereien" ist es erstens unwahrscheinlich dass überhaupt die Verfolgungsbehörden eingeschaltete werden und zweitens: wenn doch, dann ist die Wahrscheinlichkeit sehr groß, dass jeder dieser kleinen Fälle im Sande verläuft und nicht weiter verfolgt wird (Einstellung weil es kein öffentliches Interesse gibt oder weil die einzusetzenden Mittel im keinen Verhältnis zum Schaden stehen).

Würde ich schon so sagen. 1000 kleine Fälle zu 100 Euro sind trotz allem auch 1000 mal Risiko, erwischt zu werden. Mal ganz zu schweigen von dem zeitlichen Aufwand. Das lohnt imho nicht. Davon abgesehen ist die Wahrscheinlichkeit, dass einfach die PWs geknackt oder der Rechner kompromittiert wurde, um ein Vielfaches höher, als dass Ebay Kleinanzeigen gehackt oder die Mail abgefangen wurde.

Dann wäre allerdings noch mehr Vorsicht geboten.
Es wurden dann die Kleinanzeigen-Daten und auch die Mail-Zugangsdaten entwendet.
Nur mit diesen beiden Sachen zusammen kann jemand das Passwort ändern.

Aber dann kann der TE gleich alle seine Daten/Passwörter ändern und am besten gleich das Betriebssystem neu installieren.
Das wäre schon durchaus möglich. Von dem Horror wollte ich nur nicht aus gehen

Das würde ich dem TE auch dringend raten. Eben weil die Wahrscheinlichkeit hierfür deutlich höher ist als für die anderen Szenarien.

Sehe ich auch so.
Ist eigentlich genau die typische Masche von Kleinkriminellen. Die Fallen nicht mit großen Summen auf.
Mit einer Lotterie in Malta zu nur €5,- je Lotto verdient man Millionen und kommt am Ende fast ungeschoren davon.

Ja, grundsätzlich stimmt das bestimmt, aber in diesem Fall halte ich das für unwahrscheinlich. Zumal der Gauner einfach keinen unmittelbaren Vorteil hat; er gewinnt lediglich etwas Vertrauen durch einen ggf. länger existierenden Account. Die Zahlung bzw. den eigentlichen Betrug etc. muss er aber ja trotzdem selbst abwickeln. Auch registrierte Accounts bei Ebay Kleinanzeigen sind ja im Grunde anonym. Dafür solche Geschütze aufzufahren... glaube ich nicht.