Typische Hacker-Methoden in der Computerspiele-Branche Gaming im Visier von kriminellen Hackern

Online-Gaming erlebt seit der Corona-Krise einen starken Aufschwung – und gerät immer stärker ins Visier von Hackern. Denn in den Gaming-Accounts gibt es viel zu holen. Laut einer repräsentativen europäischen Studien von Akamai zusammen mit DreamHack wurden 55 Prozent der befragten Gamer bereits einmal gehackt. Darum ist der richtige Schutz notwendiger denn je.

Mit dem Smartphone auf dem Weg zur Arbeit, mit dem Laptop bei Freunden oder an der Konsole zu Hause – Gaming ist kein Nerd- oder Nischenphänomen mehr, sondern bereits in der Mitte der Gesellschaft angekommen. Das schreibt der Bitkom als Ergebnis einer repräsentativen Studie, die im Juni dieses Jahres in der Gaming-Szene durchgeführt wurde. Laut dieser Befragung spielt fast jeder Zweite (46 Prozent) zumindest gelegentlich Video- oder Computerspiele, mehr als jeder Zweite (55 Prozent) seit der Corona-Krise sogar durchschnittlich sieben Stunden pro Woche mehr als vor der Epidemie. Kein Wunder also, dass Kriminelle die Gamer und die gesamte Gaming-Industrie immer stärker ins Visier nehmen. Der neueste Sicherheitsbericht „State of the Internet / Gaming: You Can’t Solo Security“ hat die Branche ausführlich analysiert: Die Videospielindustrie war zwischen 2018 und 2020 fast 10 Milliarden Credential-Stuffing- und 152 Millionen Webanwendungs-Angriffen ausgesetzt.

Was Kriminelle bei Gamern suchen

Gamer sind willkommene Opfer für Hacker, da sie viel online aktiv sind, virtuell mit vielen Usern interagieren und hohe Beträge für ihr Hobby in Beispielsweise Gamingkonten oder spielspezifischen Features investieren. Die Kriminelle suchen nach spielinternen Vermögenswerten, nach Kontodetails und persönlichen Informationen – all diese können gehandelt oder verkauft werden – sowie nach finanziellen Informationen, die kompromittiert und für finanziellen Diebstahl verwendet werden können. Darüber hinaus sind Hacker auf der Suche nach Konten, mit denen eine große Anzahl von Spielen und Spielern verbunden sind, sowie nach Konten, die Zugang zum aktuell beliebtesten Spiel haben. Sie sammeln darüber gerne Benutzernamen und Passwörter. Auch Foren sind sehr begehrte Quellen, denn dort lassen sich viele bekannte Spieler finden, die besonders gut vernetzt sind – ideale Ziele für Angriffe.

Allein zwischen Juli 2018 und Juni 2020 wurden 10,6 Milliarden Webanwendungsattacken beobachtet, davon richteten sich mehr als 152 Millionen gegen die Gaming-Industrie. Von Juli 2018 bis Juni 2020 gab es 100 Milliarden Credential Stuffing Attacken in allen Branchen, rund 10 Milliarden in der Gaming-Branche. Neben den Angriffen auf Webanwendungen in der Videospielindustrie konnten zwischen Juli 2019 und Juni 2020 3.072 verschiedene DDoS-Angriffe festgestellt, was Gaming zum größten DDoS-Ziel aller Branchen macht.

Typische Hacker-Methoden in der Gaming-Branche

Es ist durchaus interessant, die Angriffe etwas genauer zu analysieren. Kriminelle greifen Spieler über zwei verschiedene Wege an: Bei Phising-Angriffen werden vertrauenswürdig aussehende Websites von Kriminellen erstellt, die mit einem Spiel oder einer Spieleplattform in Verbindung steht. Über die gefälschten Plattformen wird versucht an persönliche Daten eines Spielers zu gelangen, um damit Identitätsdiebstahl zu begehen und finanziellen Schaden anzurichten. Ein Beispiel für einen Phishing-Angriff gegen Benutzer auf Steam ist in der folgenden Abbildung zu sehen:

Sobald auf den Link „Freund hinzufügen“ geklickt wird, wird der User aufgefordert, seine Anmeldedaten einzugeben, was eine Kompromittierung des eigenen Accounts zur Folge hätte. Angriffe wie dieser gehen oft von Nachrichten aus, in denen ein interessanter Gegenstand oder lukrativer Handel auf der Plattform angeboten wird.

Die zweithäufigste Art und Weise, wie Kriminelle Spieler ins Visier nehmen, ist Credential Stuffing. Dabei benutzt ein Hacker eine Liste von Benutzernamen und Passwörtern und versucht mit diesen auf ein Spiel zuzugreifen. Jede erfolgreiche Anmeldung bedeutet, dass er das Konto eines Spielers kompromittiert hat.

Auch Server werden gerne attackiert, am häufigsten mit SQL-Injection-Angriffen (SQLi), die darauf abzielen, Login-Credentials von Usern, persönliche Daten und andere Informationen abzugreifen, die auf der Datenbank des Servers lagern. Eine andere Methode stellt Local File Inclusion (LFI) dar, die Details von Spielern und Spielen offenlegen kann. Beide zielen oft auch auf mobile und webbasierte Spiele, um Zugang zu Usernamen, Passwörtern und Accountinformationen zu erhalten. Die so gewonnenen Informationen werden dann anschließend für betrügerische Zwecke genutzt.

Schutzmaßnahmen dringend angebracht und einfach umzusetzen

Die Haltung der Gamer zu solchen Attacken ist sehr unterschiedlich. Nur 20 Prozent der befragten Gamer gaben an, dass sie besorgt oder sehr besorgt darüber sind, dass ihre Spielkonten kompromittiert (gehackt oder gekapert) werden könnten. Aber 55 Prozent sagten, dass in der Vergangenheit einer ihrer Accounts kompromittiert worden ist. Sie fürchten den Diebstahl von Kreditkarteninformationen, das kapern ihrer Accounts und den Diebstahl von In-Game-Vermögenswerten (Skins, spezielle Waffen etc.).

Tatsächlich ist jeder, ob Anbieter von Online-Spielen oder Gamer, verantwortlich für die Sicherheit seiner Konten, Zugänge und Daten. Gamer können sich recht einfach einen Schutz aufbauen. Zum Beispiel mit Passwortmanager, die gegen Phishing-Angriffen schützen. Wer sich auf einer Website befinden, auf der der Passwortmanager normalerweise den Benutzernamen und das Passwort ausfüllt, aber plötzlich nicht mehr funktioniert, dann ist das ein unmissverständliches Warnsignal.

Warum ist ein Passwortmanager so wichtig? Wenn dasselbe Passwort für mehrere Logins verschiedener Dienste verwendet wird, kann ein einziges gehacktes Konto (zum Beispiel durch einen Phishing-Angriff) zur Kompromittierung mehrerer Konten führen. Die wichtigste Abwehrmaßnahme gegen Credential Stuffing-Angriffe ist also ein langes, komplexes und einmaliges Passwort für jedes verwendete Konto, das jeweils im Passwortmanager gespeichert werden kann.

Anbieter von Online-Spielen sollten Zwei-Faktor-Authentifizierung anbieten

Eine andere sinnvolle Sicherheitslösung ist die Zwei-Faktor-Authentifizierung (2FA), eine Untergruppe der Multi-Faktor-Authentifizierung, die für die Bestätigung der Identität zwei verschiedene Faktoren verlangt. In vielen Fällen ist dies etwas, was nur dem User bekannt ist (das Passwort), und etwas, was nur der User hat (sein Smartphone). Ein Smartphone ist die am häufigsten genutzte Methode um über Authentifizierungsanwendungen und SMS-Nachrichten einen Code zur Bestätigung der User-Identität zu erhalten, nachdem das Kontopasswort angegeben wurde. Wenn eines von beiden fehlt, schlägt die Authentifizierung fehl und ein Login ist nicht möglich.

Manche Spieleanbieter verwenden eine zweistufige Verifizierung, bei der ein individueller Code per SMS ans Smartphone gesendet wird. Die Verwendung von SMS als Teil eines Sicherheitsprozesses ist jedoch mit einem gewissen Risiko verbunden. Dieses konzentriert sich hauptsächlich auf das Smartphone, da die SIM-Karte geklont oder das Gerät direkt kompromittiert werden kann, wodurch der Sicherheitsaspekt der Verwendung von "etwas, was man hat" umgangen wird. Trotz solcher potenziellen Schwachstellen bietet auch die Verifizierungsmethode über SMS ein gewissen Schutz vor Angriffen – und das ist besser als gar kein Schutz. Die Gamerbranche kann sich also bis zu einem gewissen Grad auch eigenständig gegen Angriffe verteidigen. Dies kann allerdings nur funktionieren, wenn jeder die Sicherheitsstandards kennt, als wichtig erachtet und gewissenhaft umsetzt.

Über den Autor: Steve Ragan ist Editor Security Research and Publications bei Akamai.

(ID:47084903)