Sprung zum Inhalt / Skip to main content
Alle Datenpannen mit weltweiter Bedeutung, die von eBay (mit)verusacht worden sind
21.05.2014
Beim Verkaufsportal eBay konnten Unbekannte zwischen Ende Februar und Anfang März sich Zugriff auf die Nutzerdaten machen. Betroffen waren vor allem Kontaktdaten (Anschriften, E-Mail-Adresse, verschlüsselte Kennwörter). Laut Betreiber waren keine Finanzdaten betroffen. Ende Mai forderte es die Nutzer auf, die Kennwörter zu ändern.
20.08.2008
Bis dato bot der Internetbezahldienst PayPal einen Service zur einfachen Kontenabfrage an. Jeder Teilnehmer konnte bei einer Servicenummer anrufen und dort Auskunft über sein Konto erhalten.
Dazu hat der Kunde der eBay-Tochter eine Telefonnummer und seine Kontonummer hinterlegt. Am Servicetelefon identifiziert er sich dann mit dieser Telefonnummer und den letzten vier Ziffern der Kontonummer. Da aber Telefonnummer und Kontonummer bei vielen Menschen, insbesondere bei kleingewerblichen Online-Händlern, kein Geheimnis sind, ist es leicht für Unbefugte deren Daten abzurufen.
PayPal hat den Dienst mittlerweile umgestaltet. eBay-Sprecher Nerses Chopurian schloss aus, dass die PayPal-Datenschutzlücke missbräuchlich genutzt worden sein könnte.
29.10.2007
Sämtliche Profile von eBay-Nutzern waren im Internet frei zugänglich. Möglich war das über die personalisierten Newsletter von eBay. Um den Newsletter im HTML-Format einsehen zu können ohne unsichere HTML-Mails im E-Mail-Client akzeptieren zu müssen enthielt jeder Newsletter einen Link. Damit war es möglich den personalisierten Newsletter mit zahlreichen Kundendetails, wie eBay-Namen, Bewertungspunkte und auch die echten Vor- und Nachnamen im Browser anzusehen. Durch geringfügige Änderungen an diesem Link konnte auch auf die Newsletter anderer Benutzer zugegriffen werden. So war es theoretisch für jeden möglich, mittels eines Bots sämtliche eBay-Profile auszulesen.
Peinlich für eBay: In jedem Newsletter betont das Online-Auktionshaus:
Ihr Vor- und Nachname in dieser Mitteilung sind ein Hinweis darauf, dass die Nachricht tatsächlich von eBay stammt.
10.09.2007
Die eBay-Nutzer-Datenbank ist entweder gehackt oder frei über das Netz zugänglich. Das jedenfalls beweist eine Internetseite, die es ermöglicht bei Eingabe einer Auktionsnummer den unterlegenen Bietern im Namen des Verkäufers eine personalisierte E-Mail zu senden. Diese Internetseite wird vorallem von kriminellen genutzt, die den knapp unterlegenen Bietern damit Sonderangebote zukommen lassen. Damit wird der Eindruck erweckt, dass sie das gewünschte Produkt doch noch erhalten könnten. Das Geld ist über eine Western-Union-Transaktion zu bezahlen, die den Empfänger verschleiert.
Wie Spiegel-Online berichtet läuft die Internetseite über ein vermutlich gehacktes luxemburgisches Forschungsnetzwerk. Tatsächlich scheinen die Daten vom Server eines britischen Providers zu stammen. Die Who-is-Abfrage gibt aber keinen Aufschluss über die tatsächlichen Betreiber der Internetseite.
Die großen Telefonverzeichnisse kennen keine Personen, die die angegebenen Namen trugen. Auch die Websuche verläuft im Sand, wenn man so will – oder präziser im Mutterboden: Zwei Personen, die die angegebenen Namen trugen, lebten offenbar in London im 19. Jahrhundert. Alles deutet also auf ein mehrstufiges Betrugsmanöver hin, mit dem die Täter ihre Spuren recht effektiv verwischen. Ein wichtiges Indiz ihrer Herkunft liefern sie trotzdem. Die Skriptmaske selbst, die SPIEGEL ONLINE vorlag und von uns getestet wurde, ist in einer klar identifizierbaren Sprache beschriftet: Rumänisch.
Interessant ist allerdings auch die Reaktion der deutschen Niederlassung von eBay: Die wollen zunächst einmal gar nichts tun. Der Mutterkonzern wurde aber informiert.