Hab von Adobe eine mail bekommen:

Betreff: Wichtige Information zur Erstellung Ihres neuen Kennworts

Wir haben kürzlich herausgefunden, dass auf unser Netzwerk illegal zugegriffen wurde. Dabei haben sich die Angreifer möglicherweise auch Zugriff auf Ihre Adobe-ID und Ihr verschlüsseltes Kennwort verschafft. Zurzeit gibt es jedoch keine Hinweise auf nicht autorisierte Aktivitäten auf Ihrem Konto.

 

Ist das von einer gelonten Site zwecks passord-fishing oder seriös?

ich habs heute auf englisch im büro-maileingang:

 

 

Important Password Reset Information
To view this message in a language other than English, please click here.

We recently discovered that an attacker illegally entered our network and may have obtained access to your Adobe ID and encrypted password. We currently have no indication that there has been unauthorized activity on your account.

To prevent unauthorized access to your account, we have reset your password. Please visit www.adobe.com/go/passwordreset to create a new password. We recommend that you also change your password on any website where you use the same user ID or password. In addition, please be on the lookout for suspicious email or phone scams seeking your personal information.

We deeply regret any inconvenience this may cause you. We value the trust of our customers and we will work aggressively to prevent these types of events from occurring in the future. If you have questions, you can learn more by visiting our Customer Alert page, which you will find here.
Adobe Customer Care
Adobe, the Adobe logo and Adobe PDF logo are either registered trademarks or trademarks of Adobe Systems Incorporated in the United States and/or other countries. All other trademarks are the property of their respective owners.

©2013 Adobe Systems Incorporated. All rights reserved.

 

Die Links im Mail sehen sauber aus ...

Nee, das ist wohl echt, so weit ich gelesen habe. Einige meiner Kollegen und ich haben dazu ebenfalls eine Nachricht von Adobe bekommen (am 4.10.). Es geht um insgesamt 2,9 Millionen Kundendaten, die bei Adobe abgefischt wurden. Hier nur mal auf die Schnelle ein Link dazu. 

Danke, dann klick ich auch mal rein in die mail.

Die Links im Mail sehen sauber aus ...

 

Woran sieht man das?

Ging dabei nicht »nur« um Kundendaten, laut Adobe wurde sogar der Sourcecode für einige Produkte »geklaut«. Eine riesen Katastrophe, die dubioserweise ziemlich untergegangen ist bei der Berichterstattung durch die Medien.

Stimmt, das hat mich auch sehr gewundert! 

Eine riesen Katastrophe, die dubioserweise ziemlich untergegangen ist bei der Berichterstattung durch die Medien.

Eine Katastrophe ist das nicht, das ist ein eher kleiner Hack (wie oft hatte man die Datenbank studivz unterm Arsch weggezogen?). Und die Medien (die IT-spezifischen, die anderen berichten nie darüber, auch nicht als einem Zahlungsdienstleister zigmillionen Kreditkartendaten entwendet wurden oder die Tage mehreren Sicherheitsdienstleistern die komplette Datenbank (Klarname, Sicherheitsabfrage, Honeypot-Fragen) haben darüber berichtet, doch Adobe hat sich ein bischen bedeckt gehalten, was für Sicherheitsmaßnahmen sie für ihre Daten hatten (hashes, salt, pepper). Ihr wollt doch nicht, dass sich die breite Masse anfängt, sich über die Haftungsfragen Gedanken zu machen ;) Und um den Sourcecode von ColdFusion und Acrobat ist es nicht schade -- vielleicht bekommt Adobe jetzt mal die Sicherheit in den Griff (Acrobat und Flash sind widerliche Bugmonster, die ein System aufreißen wie gewisse Blechbläser vor Jericho).

Eine Katastrophe ist das nicht, das ist ein eher kleiner Hack

Richtig. 

 

Und die Medien … berichten nie darüber … Ihr wollt doch nicht, dass sich die breite Masse anfängt, sich über die Haftungsfragen Gedanken zu machen …

Unsinnige Verschwörungstheorie.

Unsinnige Verschwörungstheorie.

Unsinnig nein, Verschwörungstheorie vielleicht. Doch das wird erst die Zukunft zeigen, wenn Du Deine Identität nicht mehr sicher beweisen kannst... Dass mehrere deutsche Kreditinstitute in zigtausenden Fällen prophylaktisch Kreditkarten tauschten, ist ja auch nicht durch so groß die Presse gegangen (bzw in diesem Falle imo unzulässig verzögert)... 

Na ja, das mit den Kreditkartendaten muss man auf alle Fälle im Auge behalten. Vor zwei Jahren (oder so), gab es mal so eine Geschichte, bei der einer Kreditkartenabrechnungsfirma die Daten ihrer Kunden abhanden gekommen waren. Panisch fingen die Banken dann plötzlich an, alle Kreditkarten ihrer Kunden zu sperren und neue Karten zu verschicken. Ich war zu der Zeit gerade im Ausland unterwegs und hatte plötzlich nur noch ungültige Kreditkarten in der Tasche. Witzig war das nicht …

wenn Du Deine Identität nicht mehr sicher beweisen kannst... Dass mehrere deutsche Kreditinstitute in zigtausenden Fällen prophylaktisch Kreditkarten tauschten, ist ja auch nicht durch so groß die Presse gegangen (bzw in diesem Falle imo unzulässig verzögert)...

 

Mir ging es um Aussage, die so klang, als würden die (allgemeinen) Medien hier bewusst Nachrichten über solche Fälle unterschlagen oder kleinreden. DAS ist eine Verschwörungstheorie. Und die Anbieter selbst halten sich selbstverständlich bedeckt. Sollen sie ihre Sicherheitsmaßnahmen ins Impressum schreiben, damit die Hacker es besonders einfach haben? 

Über den Adobe-Fall wurde in ertwartungsgemäßer Weise berichtet. Mich hat die Nachricht auf mehreren Kanälen erreicht. Dass sie in allgemeinen Medien weniger Beachtung findet, liegt schon daran, dass Adobe trotz seines vergleichsweise großen Umsatzes immer noch ein fachspezifischer Anbieter ist. Da sind entsprechende Fälle bei Facebook oder einer Spieleplattform für die Masse viel bedeutender. 

 

 

Dass sie in allgemeinen Medien weniger Beachtung findet, liegt schon daran, dass Adobe trotz seines vergleichsweise großen Umsatzes immer noch ein fachspezifischer Anbieter ist.

Stimmt schon: ein typischer Fall von selektiver Gestalterwahrnehmung. 

 

Mir ging es um Aussage, die so klang, als würden die (allgemeinen) Medien hier bewusst Nachrichten über solche Fälle unterschlagen oder kleinreden.

 

Das war von mir nur Polemik :)

 

 

 

 Und die Anbieter selbst halten sich selbstverständlich bedeckt. Sollen sie ihre Sicherheitsmaßnahmen ins Impressum schreiben, damit die Hacker es besonders einfach haben?

Da ich nicht an security by obscurity glaube und Informationen wie die von mir angedeuteten keineswegs eine Erleichterung bedeuten, wäre das für mich ein deutlicher Sicherheitsgewinn. Und würdest Du Dich nicht auch sicherer fühlen, wenn Adobe erklärte, dass Deine Kundendaten nicht im Klartext oder als MD5 (also Quasiklartext) geklaut worden sind?

Lassen wir die Goldwaage mal bei Seite ... das Wall Street Journal spricht davon, das dieser »kleine Hack« eine potentielle Gefahr für die U.S. Regierung darstellt. Für Adobe selbst sicherlich eine (kleine) Katastrophe. Wir können uns auch gerne auf ein anderes Wort einigen, irgendwas zwischen »kleiner Hack« und Katastrophe :)

Die Katastrophe wurde vielleicht/wahrscheinlich (genau werden wir es wohl nicht erfahren) offensichtlich, weil der Hack bei Adobe erst durch die Untersuchung eines anderen bekannt (s. o. Sicherheitsdienstleister) wurde, da dort bereits Coldfusion als Einfallstor genutzt wurde.

Und da heute kaum einer ohne PDF auskommt, ist die Kompromittierung des Betrachters eine Riesengefahr (weswegen ich nichts von security by obscurity halte), geradezu eine Katastrophe -- für Adobe als Hersteller und für jeden, dessen Arbeitsabläufe diese Software voraussetzt. Nun können die bösen Jungs in aller Ruhe neue und für den Anwender ungeahnte Angriffsvektoren suchen.

Eine riesen Katastrophe, die dubioserweise ziemlich untergegangen ist bei der Berichterstattung durch die Medien.

 

Das stand doch am 4.10.2013 schon bei Spiegel online.

Mir grad untergekommen (ob News oder nicht, weiß ich nicht): http://www.tomsguide.com/us/adobe-data-breach,news-17790.html

• 150 millionen nutzernamen plus die dazugehörigen Passwörter, glücklicherweise verschlüsselt
• 40gb Daten inkl. vermutlich Photoshop-Quellcode