tsoto.net

Am 21.07. wurde festgestellt, dass es durch eine Sicherheitslücke zu einem Angriff auf unsere Website kam. Bei einer umfangreichen Analyse des Angriffs wurde ermittelt, dass unter Umständen leider einige Daten gestohlen wurden.

Folgende Daten sind betroffen:
- E-Mail-Adressen von 1915 Mitgliedern
- Verschlüsselte Passwörter* von 559 Mitgliedern

* Auch wenn Passwörter unwiederbringlich verschlüsselt sind wird dennoch dazu angeraten das Passwort zu ändern, vor allem auch dann wenn das gleiche Passwort auf anderen Plattformen verwendet wird. Generell ist jedoch empfohlen nie auf mehr als einer Website gleichzeitig das selbe Passwort und generell einen Passwort Manager zu verwenden.

Alle anderen Daten wie z.B. Anschriften, Bestellungen, Zahlungsdaten oder sonstige Profilangaben und dergleichen sind nicht betroffen. Im Laufe des Tages werden alle Mitglieder benachrichtigt und ein Tool zur Verfügung gestellt um einsehen zu können wer von diesem Datendiebstahl betroffen war. Die Sicherheitslücke selbst wurde umgehend geschlossen und es wurden weitere Maßnahmen getroffen um solche Angriffe in Zukunft zu verhindern.

Bei Fragen stehen wir jederzeit gerne direkt hier im Forum, über das Kontaktformular oder auch im Discord zur Verfügung.

Nachtrag

Das Tool zur Überprüfung ob man vom Datendiebstahl betroffen ist steht nun unter folgendem Link zur Verfügung:
https://www.tsoto.net/Leakcheck

Eine genauere Erklärung des Vorfalls für alle technikversierten gibt es hier von Feurigel:
https://www.tsoto.net/Forum/Beitrag-10435

Uii

Danke für die Transparenz, dass es so offen angesprochen wird wer von was betroffen wurde und man sich dann nicht eventuell später wundert warum man nicht mehr in seine Emails reinkommt.

Bin zum Glück nicht betroffen, hoffe aber, dass alle die davon betroffen sind es schnell (am besten natürlich von selber aus durch diesen Link) handeln und dann die Passwörter etc. verändern

Blöd, aber passiert in der heutigen Zeit leider immer wieder. Da werden auch mal ganze Firmen lahmgelegt. Habe alles geändert und dann sollte das auch wieder passen. Hätte schlimmer kommen können....

Hoffe dass dieser Hack nicht zu viel Schaden verursacht hat. Leider sind IT-Systeme nie 100% sicher vor Angriffen. Das sensiblere Daten nicht betroffen ist schonmal was positives.

Kann man die Email Adresse ändern?

Hi Jona,

du kannst deine E-Mail-Adresse hier ändern.

Alternativ: Klicke oben auf dein Profil/Namen, wähle dort "Dein mytsoto" aus und anschließend den Punkt "E-Mail ändern".

Das ist natürlich richtig ärgerlich Vielen Dank für die Info und dass es so offen kommuniziert wird, Ich habe direkt nachgeschaut und bin zum Glück nicht betroffen!

Vielen Dank für die Info und Transparenz zu dem Thema. Bin zum Glück nicht betroffen. An die Betroffenen : Denkt bitte daran Passwörter zu ändern etc. wie es empfohlen wurde

Ich bin Gott sei dank nicht betroffen. o:
Wäre aber Effektiv auch nicht so schlimm, da ich ohnehin auf jeder Seite ein anderes Passwort und teilweise sogar andere Mailadressen nutze. :)

nicht betroffen gehe bei sowas aber auf nummer sicher ich ändere email und password

F.

Freut mich wenn Firmen actually die Kunden (zeitnah) informieren, anstatt sowas totzuschweigen - danke dafür :>

Was mich persönlich interessiert, falls man das verraten kann: Inwiefern hat der Zugriff auf die Daten stattgefunden, dass scheinbar nicht alle Kunden und auch nicht alle Daten betroffen sind?

Bin zwar nicht betroffen, hab aber aus dem Grund immer unterschiedliche Passwörter.

Hoffe das wurde schnell genug entdeckt, damit man ebenso schnell reagieren kann.

Boah danke für die schnelle Meldung! Bin zwar nicht betroffen, aber habe mein passwortgeschützt trotzdem mal erneuert

Die sind wohl scharf auf unsere Arschfiguren von Binding! Ich stelle zuhause einen Neet einen der nie wieder die Wohnung verlässt.

Danke für die Warnung.

Bin zum Glück nicht betroffen. Ich hoffe die betroffenen Mitglieder sehen es und ändern ihre Passwörter.

Danke für die Transparenz und schnelle Bearbeitung der Sicherheitslücke ❤︎

Auf den Link in der Email habe ich schonmal nicht geklickt. Ersten Test bestanden. Bin auch nicht betroffen.

Habe aber eh alle Passwörter im Manager und hätte das schnell behoben. Aber vielen Dank fürs Bescheid geben, auch per Email.

Immerhin scheinen die Passwörter hier wirklich nur verschlüsselt zu liegen. Ist ja schonmal nicht so schlecht. Gäbe garantiert auch Seiten und Shops, wo man die direkt unverschlüsselt erbeutet hätte.

Hi Pheromir,

es fand ein komplizierter Angriff in Form einer SQL-Injection statt.
Bei einem einfachen Angriff kann man ganz einfach SQL-Code in die Seite injizieren, welches ausgeführt wird und Resultat sichtbar zurückliefert. In der Regel können so ganz schnell und einfach viele Daten abgegriffen werden.
Das war hier nicht der Fall. Der Angreifer musste sich hierbei mittels eines sehr komplizierten Verfahrens bedienen. Es musste ein sehr stark angepasster SQL-Code verwendet werden, der pro Aufruf nur ein einzelnes Zeichen pro Eintrag aus der Datenbank angefragt hat. Dieses Zeichen wurde dann auch nicht direkt sichtbar auf der Webseite dargestellt, sondern versteckte sich in in den HTTP-Protokoll-Informationen. Dies kann entweder in Form von der Server-Antwort-Länge ("http response size") oder Server-Antwort-Zeit ("http response time") auftreten, indem Unregelmäßigkeiten erkannt werden. Diese Informationen ("Unregelmäßigkeiten") mussten anschließend mittels einer Zeichen-Tabelle in sichtbare Zeichen umgewandelt werden. Wenn man nun diese ganzen einzelnen Zeichen zusammengesetzt hat, hatte man irgendwann einen Eintrag für eine E-Mail-Adresse oder für ein verschlüsseltes Passwort. Dadurch dass das Verfahren so aufwendig, kompliziert und vor allem Zeitintensiv ist, hatte der Angreifer anscheinend irgendwann "aufgegeben" oder das Interesse verloren, da die Daten auch nur bedingt brauchbar sind. Die verschlüsselten Passwörter können nicht auf Klartext-Passwörter übersetzt werden und sind auch nicht mit anderen Portalen im Internet kompatibel. Der Reiz an E-Mail-Adressen alleine zu kommen ist mittlerweile nicht mehr so hoch, so dass die Person sich vermutlich dazu entschied abzubrechen.

Ich hoffe, dass ich deine Frage beantworten konnte.

Bitte führt 2FA ein. Danke.

Danke für deine Erklärung.

Hm klasse bei mir wurde Email und Passwort erbeutet… danke dir für die Info und die Erklärung. Hab mein Passwort sofort geändert gehabt. Ein neues mehr oder weniger macht den Braten bei über 80 Passwörtern ( und ja ich kenne alle auswendig) auch nicht mehr fett. Mal sehen ob jetzt einiges an Spam auf mich zukommt. Wünsche dennoch weiterhin viel Erfolg.