Fehler im Microsoft-Login: Hacker konnte Office-Konten übernehmen

Durch eine Sicherheitslücke im Login-System von Microsoft konnten Hacker in Microsoft Office-Nutzerkonten eindringen und sie komplett übernehmen. Zum Glück hatte der Entdecker der Schwachstelle andere Pläne.

Ein indischer Systemprüfer hat mehrere Schwachstellen im Login-System von Microsoft entdeckt, durch die Nutzerkonten von Microsoft angreifbar waren. Das berichtet "TechCrunch". Demnach entwickelte Sahad Nk eine Methode, um sich Zugriff zu den Office-Konten von beliebigen Microsoft-Kunden zu verschaffen.

Dazu nutzte Nk eine Schwachstelle auf der offiziellen Microsoft-Webseite success.office.com. Diese war offenbar nur unzureichend gegen Angreifer geschützt gewesen, so dass Nk sie unter seine Kontrolle bringen und den Datenverkehr überwachen konnte. Zusätzlich manipulierte er mehrere Microsoft Apps so, dass sie eine Art elektronischen Login-Schlüssel automatisch an die gekaperte Internetadresse übermittelten, sobald sich die Nutzer über einen manipulierten Link im Microsoft Live-System anmeldeten. Ohne es zu wissen, würden die Opfer ihre Konten damit einem Fremden ausliefern. Jedes beliebiges Microsoft Office-Konto sei von dem Angriffsszenario bedroht und könnte auf diese Art gekapert werden.

• US-Konzern kriegt Ärger: Microsoft Office verstößt gegen EU-Datenschutz
• Windows: Mit diesen Tastenkombinationen retten Sie Freunde in Not
• Rollen, Pos1, Num: Wofür diese kaum bekannten Tasten gut sind

Glücklicherweise hatte der Hacker keinerlei Absicht, diese Schwachstelle für kriminelle Zwecke auszunutzen. Nk ist ein sogenannter "bug hunter", also ein professioneller Hacker, der nach Sicherheitslücken in IT-Systemen sucht und an die Unternehmen meldet. Software-Konzerne wie Microsoft oder Google belohnen solche Systemprüfer im Zuge ihrer "Bug Bounty"-Programme mit einem "Finderlohn". Viele Sicherheitsprobleme können nur mit Hilfe von "White Hat"-Hackern wie Nk überhaupt entdeckt und gefixt werden. Auch die von Nk entdeckte Sicherheitslücke beim Microsoft Office-Login sei bereits behoben, schreibt TechCrunch.