Ein Service von Yahoo, Yahoo Voice, bei dem Benutzer über Internet telefonieren können (VoIP) wurde kompromittiert. Auf die E-Mail-Adressen und die Passwörter in Klartext wurde von einem Unbekannten zugegriffen. Über eine SQL-Injection wurde der Dienst angegriffen. Die Attacke wurde daraufhin gepostet, mit dem Zusatz, dass die Sicherheit etwas verbessert werden sollte.

Die Meldung des Hackers:

We hope that the parties responsible for managing the security of this subdomain will take this as a wake-up call, and not as a threat. There have been many security holes exploited in Web servers belonging to Yahoo! Inc. that have caused far greater damage than our disclosure. Please do not take them lightly.

Die Antwort von Yahoo:

At Yahoo! we take security very seriously and invest heavily in protective measures to ensure the security of our users and their data across all our products. We are fixing the vulnerability that led to the disclosure of this data, changing the passwords of the affected Yahoo! users and notifying the companies whose users accounts may have been compromised.

Injections – unter anderem auch SQL-Injections – gehören zu den Top-10-Sicherheitslücken, die sehr oft in Web-Anwendungen anzutreffen sind. Diese Liste wird von OWASP (Open-Web-Application-Security-Project) geführt und Entwickler können sich Informationen einholen, wie die Sicherheitslücken zu vermeiden sind. Penetrationstests / Sicherheitstests können solche Schwachstellen leicht finden. Sollte man nicht meinen, dass 11 Jahre nach dem ersten großen öffentlichen Ausnutzen dieser Technik diese den Entwicklern bekannt ist?

Kurz darauf hat CNet eine Statistik über die Passwörter und deren Untauglichkeit als Schutz gepostet.

• 2.295 Mal wurde das sehr schlechte Passwort „123456“ gewählt. Innerhalb von Minuten ist dies bei einem Angriff geknackt.
• 160 Mal kam „111111“ zum Einsatz, „000000“ 71 mal. Auch nicht wirklich besser.
• 780 Mal wurde von Benutzern „password“ gewählt.
• 437 Mal „welcome“
• 333 Mal „ninja“
• 161 Mal „freedom“
• 133 Mal „baseball“

Für die volle Liste bitte den obigen CNet-Link klicken.

Nach letzten Meldungen hat Yahoo die Sicherheitslücke bereits geschlossen. Kunden die nach Mai 2010 sich bei dem Dienst registriert hatten – nachdem Yahoo den Dienst gekauft hatte – sind davon nicht betroffen.

Artikel von cnn.com, 13.07.2012: Yahoo hacked, 450,000 passwords posted online