Vor der Löschung ist dort ein vermeintlich von Zuckerberg höchstpersönlich stammendes Posting aufgetaucht, das mit den Worten “Let the hacking begin” startet und mit einem Verweis auf Facebooks eigenen Hacker Cup http://facebook.com/hackercup endete.
Nach dem französischen Präsidenten Nicolas Sarkozy ist Zuckerberg bereits der zweite Top-Prominente, dessen Facebook-Seite diese Woche gehackt wurde. “Das zugrunde liegende Problem ist wahrscheinlich das gleiche. Beide Seiten werden in Wirklichkeit von einem ganzen Mitarbeiterstab betreut”, meint Eddy Willems, Security Evangelist bei G Data im Gespräch mit pressetext. Somit ist das Risiko besonders hoch, dass ein Teammitglied Hackern den Passwort-Klau leicht macht.
Soziales Facebook
Die auf die Zuckerberg-Seite eingeschleuste Nachricht hat einen Aufruf beinhaltet, Facebook in ein “Social Business” zu verwandeln. Nach den Ideen des bangladeschischen Ökonoms und Friedensnobelpreisträgers Muhammad Yunus wäre das ein Unternehmen, das auf die Lösung wichtiger sozialer Probleme ausgerichtet und nicht profitorientiert ist. Dass dieser Vorschlag wohl nicht vom echten Mark Zuckerberg stammen dürfte, war also nicht nur aufgrund der Hacker-Verweise im Text nahe liegend.
Noch gibt es keine vonseiten Facebooks keine offizielle Aussage dazu, wie es zu dem Posting gekommen ist. Bei Sophos vermutet man, dass es wohl ein Mitglied des Marketingteams hinter der Fanseite einem Angreifer leicht gemacht hat – eine Ansicht, die auch Willems teilt. “Wahrscheinlich scheint mir, dass jemand das Passwort stehlen konnte, weil sich ein Marketingmitarbeiter über offenes WLAN eingeloggt hatte”, erklärt der G-Data-Experte. Dann kann auch in Angreifer ohne viel Spezialwissen wertvolle Zugangsdaten abgreifen.
Der Faktor Mensch
“Das Problem ist letztlich immer der Faktor Mensch”, meint Willems. Zwar steht zu hoffen, dass wichtige Accounts wie Zuckerbergs Fanpage zumindest relativ sichere Passwörter verwenden. Selbst dann kann ein einziges Log-in via offenem WLAN ein Account kompromittieren. Der G-Data-Experte verweist in diesem Zusammenhang auf das Firefox-Plug-in “Firesheep”, das Facebook-Sitzungen kapert. Dieser Tatsache sollten sich freilich auch Privatnutzer bewusst sein.
“Einweg-Authetifizierung ist einfach nicht ideal”, sagt Willems weiters. Sicherer wäre es, wenn die Identität eines Nutzers hinter einem Log-in-Versuch in einem Zweiweg-Ansatz beispielsweise mithilfe einer Karte oder eines Code-Generators zusätzlich identifizieren muss. “Solche Lösungen fehlen aber bislang fast in allen Bereichen”, bedauert der Experte. Dafür ist sicherlich mitverantwortlich, dass für das globale Web zunächst eine politische Einigung auf einen internationalen Standard wünschenswert wäre. Doch entwickelt sich das Internet wohl zu schnell, um auf die langsamen Mühlen der Politik zu warten.
Die offizielle Mark-Zuckerberg-Fanpage http://facebook.com/markzuckerberg war auch am Mittwochnachmittag nach wie vor offline.
