GMX Accounts können gehackt werden?

[hodlcoins]

@akka/yxt
Das ist ja jetzt etwas inkonsistent.
Einerseits wurde das Konto übernommen ohne das eine Nummer hinterlegt war, andererseits hat man es sofort gekapert als eine drin war.
Oder war noch eine andere Option aktiv?
Am SMS-Gateway scheints ja nicht zu liegen...
Da bleibt ja nur noch, das jemand den Link (und evtl. Tokens o.ä.) in der Passwort-Zurücksetzen-Mail erraten kann und so vortäuscht, der Empfänger eben dieser Mail zu sein.

[1714695129]

1714695129

[1714695129]

1714695129

[1714695129]

1714695129

[Akka]

@akka/yxt
Das ist ja jetzt etwas inkonsistent.
Einerseits wurde das Konto übernommen ohne das eine Nummer hinterlegt war, andererseits hat man es sofort gekapert als eine drin war.
Oder war noch eine andere Option aktiv?
Am SMS-Gateway scheints ja nicht zu liegen...
Da bleibt ja nur noch, das jemand den Link (und evtl. Tokens o.ä.) in der Passwort-Zurücksetzen-Mail erraten kann und so vortäuscht, der Empfänger eben dieser Mail zu sein.

Dar Hacker behauptet jedes Konto übernehmen zu können sobald irgendeine Wiederherstellungsmöglichkeit aktiviert ist.

Ist so noch in OM's die ich habe:

It can reset pass to any email that is @gmx.net @gmx.de @gmx.ch @gmx.at, the email that you take must have a recovery option for it to work like a phone or email
give me an email and ill attempt to take it to prove it

Scheint also zu reichen wenn er auf die "Passwort vergessen" Seite der Adresse kommt. Denke dort ist irgendwo die Schwachstelle.

Edit: Eine Passwort zurücksetzen Mail habe ich nie erhalten, er hat mein Konto definitiv übernommen ohne dass diese Mail (an mich) geschickt wurde.

[qwk]

@akka/yxt
Das ist ja jetzt etwas inkonsistent.
Einerseits wurde das Konto übernommen ohne das eine Nummer hinterlegt war, andererseits hat man es sofort gekapert als eine drin war.
Oder war noch eine andere Option aktiv?
Am SMS-Gateway scheints ja nicht zu liegen...
Da bleibt ja nur noch, das jemand den Link (und evtl. Tokens o.ä.) in der Passwort-Zurücksetzen-Mail erraten kann und so vortäuscht, der Empfänger eben dieser Mail zu sein.

Ich habe mich mittlerweile auch mal bei gmx angemeldet und mir die Seite mit Passwort Reset angesehen.
Könnte ganz simpel sein, dass sich das Token für's Rücksetzen direkt aus dem Token in der Reset-Seite errechnen lässt.
Aber das ist wahrscheinlich zu einfach gedacht.

[yxt]

@hodlcoins
Es scheint um die Rücksetzen Funktion an sich zu gehen, nicht speziell um eine der Möglichkeinten.

Mal anders gefragt: Wurde bis jetzt ein Konto ohne aktive Rücksetzfunktion übernommen?

@Akka
Eine SMS habe ich auch nie erhalten.

[Acura3600]

Ja mein konto wurde mehrmals übernommen. meist um 21Uhr oder in der Nacht gegen 3Uhr ohne das ich eine Email zwecks passwordreset etc bekommen habe.

[hodlcoins]

Hat hier nicht eben jemand gesagt, das man eine Frage Pflichthinterlegen muss?
Damit würde die Einschränkung ja fallen, und alle Konten sind betroffen.Was der Horror wäre, und mich wundern lässt, warum man außer hier nichts davon erfährt.
Oder gilt das nur für ab Zeitpunkt x neu angelegte Konten?

[qwk]

Ja mein konto wurde mehrmals übernommen. meist um 21Uhr oder in der Nacht gegen 3Uhr ohne das ich eine Email zwecks passwordreset etc bekommen habe.

Das spräche dafür, dass das Token für den Reset direkt aus dem Token auf der Seite für die Anforderung des Resets abgeleitet ist.
Somit würde es ausreichen, die Seite für die Reset-Anforderung aufzurufen, dort das Token zu lesen, um dann gleich das erzeugte Token auf der eigentlichen Reset-Seite einzugeben.

[qwk]

Hat hier nicht eben jemand gesagt, das man eine Frage Pflichthinterlegen muss?

Tja, also ich habe mir heute einen Account angelegt und ich musste tatsächlich eine Frage hinterlegen.

[Acura3600]

Hat hier nicht eben jemand gesagt, das man eine Frage Pflichthinterlegen muss?

Tja, also ich habe mir heute einen Account angelegt und ich musste tatsächlich eine Frage hinterlegen.

Die Frage dient nur zur Authentifizierung an der Service Hotline bei Sicherheitsproblemen, so kenne ich es jedenfalls noch.

[qwk]

Hat hier nicht eben jemand gesagt, das man eine Frage Pflichthinterlegen muss?

Tja, also ich habe mir heute einen Account angelegt und ich musste tatsächlich eine Frage hinterlegen.

Die Frage dient nur zur Authentifizierung an der Service Hotline bei Sicherheitsproblemen, so kenne ich es jedenfalls noch.

Mist, ich habe drei 20-stellige Passwörter aus pwgen als Antwort angegeben, wenn ich die an der Hotline buchstabieren muss, bin ich am A****

edit: Spellchecker macht aus pwgen immer Pagen

[molecular]

Hat hier nicht eben jemand gesagt, das man eine Frage Pflichthinterlegen muss?

Tja, also ich habe mir heute einen Account angelegt und ich musste tatsächlich eine Frage hinterlegen.

die Frage ist aber nur für telefonsupport, oder?

beim password-reset kann man sie nicht benutzen.

[molecular]

Hat hier nicht eben jemand gesagt, das man eine Frage Pflichthinterlegen muss?

Tja, also ich habe mir heute einen Account angelegt und ich musste tatsächlich eine Frage hinterlegen.

Die Frage dient nur zur Authentifizierung an der Service Hotline bei Sicherheitsproblemen, so kenne ich es jedenfalls noch.

Mist, ich habe drei 20-stellige Passwörter aus pwgen als Antwort angegeben, wenn ich die an der Hotline buchstabieren muss, bin ich am A****

lol! man sollte mal aus spass eine 300-stellige antwort benutzen

[Acura3600]

Mal eine ganz doll doofe Frage, liebe Mitforisten: Habt ihr euch beim Verlassen der GMX-Seite ausgeloggt? Na, Hand aufs Herz!

Klar

[manfred87]

Also jetzt gerade sieht die Seite aus wie immer - ich kann Email oder SMS auswählen...

oder "Beide Optionen kommen für mich nicht in Frage" , dann kommt der Hinweis mit dem "Kontaktieren sie uns"

[molecular]

Mal eine ganz doll doofe Frage, liebe Mitforisten: Habt ihr euch beim Verlassen der GMX-Seite ausgeloggt? Na, Hand aufs Herz!

als ich gehackt wurde war ich seit 5 Jahren nicht auf der GMX seite.

Nur TLS/IMAP verwendet.

[molecular]

Ich sehe gerade: Wenn ich auf den Link "Passwort vergessen?" klicke, erscheint die Seite:

Passwort zurücksetzen
Wir sind für Sie da!

Rufen Sie uns an, wenn Sie keine Möglichkeit gefunden haben Ihr Passwort zurückzusetzen.
[ Kontaktieren Sie uns ]

Da scheint etwas in Arbeit zu sein, man kann keine E-Mail-Adressen mehr eingeben. Abweichende Meinungen hier im Forum?

Das kommt genau dann wenn man keine Telefonnummer oder alternative email hinterlegt oder auf der Seite davor (kommt nur wenn man eine der beiden Datums hinterlegt hat) nichts eingibt.

[mezzomix]

Meint ihr, mein GMX Account detlefsichwell@gmx.de kann tatsächlich gehackt werden? Das wäre aber nicht schön...

[CryptKeeper]

Meint ihr, mein GMX Account detlefsichwell@gmx.de kann tatsächlich gehackt werden? Das wäre aber nicht schön...

Nein, wenn Du die Mailadresse hier nicht posten würdest, wärst Du sicher - upps! 

[mezzomix]

Aha 

[yxt]

allerdings wärst du wieder sicher wenn du die email direkt in die Signatur packst