PlayStation Network - Mit welchen Tricks Hacker PSN-Accounts stehlen & wie ihr euch schützen könnt

Das PlayStation Network wird immer wieder von Hackern ins Auge gefasst.

Stellt euch vor, ihr wollt jemandem einen Gefallen tun und euch mit eurem Account auf deren PS4 einloggen. Damit die Liebsten in den Genuss eurer Spielebibliothek kommen können, müsst ihr euren Account als primäres Konto auf deren Gerät anmelden. Also deaktiviert ihr euer PSN-Konto als Primär-Account auf eurer eigenen PS4. Dummerweise kommt ihr dann aber gar nicht mehr an die Spiele, weil der PSN-Account plötzlich behauptet, eine andere Konsole sei das Primär-Gerät, von der ihr noch nie etwas gehört habt. So berichtet zumindest Sean Davies davon, als er Opfer eines Account-Diebstahls wurde.

Mehr:PlayStation Network - Sony wirbt mit 2 Stufen-Verifizierung für mehr Sicherheit

Anschließend habe es sechs Monate lang gedauert, bis er wieder Zugriff auf sein PSN-Konto hatte. Die Sache ließ dem Autoren keine Ruhe: Er recherchierte und schließlich gelang es ihm, den Kontakt zu einem PSN-Dieb und Account-Verkäufer herzustellen. Der hatte gleichermaßen interessante wie bestürzende Details auf Lager:

"Yahoo, ClixSense und AFF waren gut für uns. Du wärst von der Anzahl an Menschen überrascht, die dieselbe Email-Adresse und dasselbe Passwort für alle Online-Accounts nutzen, die sie haben. [...] Wir haben einige Listen von Hacks genommen, ein paar Bots aufgesetzt und hatten Glück mit dem PSN. Wir haben es sogar geschafft, selbst einige kleinere PlayStation-Trophäen-Tracking-Seiten zu hacken und 90 Prozent haben denselben Nutzernamen und dasselbe Passwort wie beim PSN benutzt."

Sobald eine Kombination aus Nutzername und Passwort gefunden wurde, die funktioniert, geht alles sehr schnell und einfach:

"Wir loggen uns in die PlayStation-Webseite ein und nutzen die 'Alle Deaktivieren'-Funktion. Das entfernt alle Primär-Accounts, ohne jemanden zu benachrichtigen. Wir überprüfen es auf der PS4 und dann verkaufen wir sie weiter."

Mehr:PlayStation Network-Hack - "Ich bin froh, dass es damals passiert ist", sagt ehemaliger PSN-Chef

Sind die Zugangsdaten verkauft, muss der Käufer das Konto dann nur noch auf seiner Konsole als Haupt-Account angeben und sollte aus dem Schneider sein. Die Deaktivieren-Funktion kann nur alle sechs Monate genutzt werden. Im Zuge dessen soll es bereits mehrfach Probleme gegeben haben, aber der Kundenservice von Sony kann trotzdem alle Geräte deaktivieren.

"Ich schätze, die meisten der PSN-Accounts, die wir verkaufen, wissen nicht einmal, dass sie verkauft wurden. Sie werden es auch nie merken, wenn sie nicht nachsehen. Wir verkaufen sie, der Käufer macht den Account zu seinem Primären und lädt herunter, was er spielen will. Es sei denn, sie loggen sich gleichzeitig ein. Das kommt vor."

Für einen PSN-Account kriegen die Verkäufer unterschiedliche Summen:

"Kommt drauf an. Für die meisten kriegen wir nicht so viel. Mehr als die Hälfte ist totaler Müll. PlayStation Plus-Spiele und nicht viel mehr. Manche haben ein wertvolles Spiel, das wir für 30 US-Dollar verkaufen können. Die besten Accounts haben 30 oder mehr Spiele, die gut oder aktuell sind. Wir können sie für über 1000 Dollar verkaufen. Im Schnitt? 250 Dollar. 300 Dollar. [...] Wir verkaufen auf Webseiten. Paypal und manchmal Bitcoin. Was die Webseiten angeht, ich werde da keine Namen nennen. Foren, Reddit und Chan. Ich hab mal einen an einen Besoffenen in einer Bar verkauft. "

Es gibt aber zum Glück ein probates Mittel gegen so etwas: Die Zwei-Schritte-Verifizierung erfordert eine Bestätigung durch euer Telefon und macht den Dieben offenbar schwer zu schaffen:

"Es hat mich am ersten Tag gef*ckt. Ich hatte 30 Emails, die besagten, dass das Passwort nicht funktioniert hätte. Es wurde einfacher und schwieriger zugleich. Viele der PSN-Accounts, die wir knacken, haben immer noch keine zwei Schritte, aber wir können nicht sagen, ob das Passwort stimmt, falsch ist, oder ob es einfach 2-Step ist."

Um Account-Diebstähle zu vermeiden, solltet ihr also unbedingt immer die Zwei-Faktor-Authentifizierung nutzen und immer jeweils einzigartige Passwörter (und am besten auch Email-Adressen) für unterschiedliche Accounts haben.

Hattet ihr schon mal ähnliche Probleme? Erzählt eure Story!

E3 2017 - Electronic Entertainment Expo