Blizzard: geen aanwijzingen voor hacks Battle.net-accounts

Dat de schuld niet ligt bij Blizard is vaak nogal een makkelijke manier om er vanaf te geraken.

Noem het toeval, maar even een feitje opsommen.

Ik registreer bij Blizard omdat ik eraan denk één van hun producten te kopen. Ik zie de prijs, en denk, die zijn zot. Ik kan datzelfde game kopen in de winkel voor goedkoper ( hun online verkopen zijn duurder dan de winkel artikels ).

2 weken later, begin ik mails te krijgen van mijn "WOW" account. Pikant detail, ik heb GEEN WOW account, ik heb geen enkel andere producten dat op dat moment actief zijn of waren bij hun.

Toevallig, het email adres waar deze emails op aankomen => enkel gelinkt met Blizard hun dienst. Gebruik al jaren alias accounts, om te kunnen blokkeren & traceren.

Heb het open gehouden voor enkel maanden, om te zien of de spammers die volhielden. En ja... om de paar dagen een bericht van hoe ik moest inloggen bla bla bla...

Ditzelfde is gemeld geweest aan Blizard. Hun reactie was: Dat de dienst veilig was, en dat de spammers mijn email ergens anders gevonden moesten hebben.

Jaja, toevallig he, een paar weken nadat ik registreer bij Blizard, dat die specifieke spam begint. En met specifiek adres. Vertel dat verhaal maar tegen mensen dat geen 20+ jaar IT doen, dan geen alias email adres gebruiken voor sites, en dan voor iedere site een aparte password enz gebruiken. Heb al lang ondervonden dat de IT kennis laag is bij die helpdesks, wanneer het aankomt op het erkennen van problemen.

En als ze bij de helpdesk de klanten afwimpelen van "Het is uw schuld", dan worden die zaken vaak niet doorgegeven aan de IT'ers dat in het bedrijf werken, met als gevolg dat het probleem niet opgelost geraakt.

Ik verdenk meer dat de hackers gewoon brute force proberen de emails te raden, en dat ze bij Blizard geen anti-brute force maatregelen staan hebben ( alle, niet in die tijd +- 1+ jaar geleden ). En om de zoveel pogingen stoten ze op nieuwe. Bij sommige sites is het simpel. Password recovery poging. Je vraag voor recovery, en begint met mails in te geven. Bij een echt email in hun systeem, vraagt men vaak om bevestiging ( Druk Ja om te versturen bla bla ), en bij een niet bestaande, geeft men een foutmelding ( email bestaat niet ).

Gevolg is, begin daar brute pogingen met een beetje simpel code ( check resultaat van je request ), en voila... Daar vind je vaak geen enkel bescherming op, omdat veel mensen er niet aan denken dat via daar een brute force aanval kan op gedaan worden.

Op die manier maakt men het de hackers wel heel simpel. Vind email adres, stuur valse email dat "echt gelijkt", en veel mensen vallen als ratten in de val. Zeker omdat veel mensen niet in staat zijn de echte van de valse te controleren. En bingo, men harvest lekker veel accounts hun login/password.