Taylor Swift: Konzertkarten bei Eventim mit Passwort-Testen geklaut

Ausprobieren von Nutzernamen und Passwörtern aus Datenhalden im Darknet, sogenanntes Credential Stuffing, war für Cyberkriminelle erfolgreich. Damit gelang ihnen der Zugriff auf Nutzerkonten beim Ticketverkäufer CTS Eventim. Ihr Ziel waren Konzerttickets für Taylor Swifts "The Eras"-Tournee.

Diese offenbar begehrten Tickets wollten die Angreifer zu Geld machen. Eventim erläutert in einer Stellungnahme, dass die "Zahl der unautorisierten Weiterverkäufe [...] sich im niedrigen zweistelligen Bereich" befinde. Derartige Transaktionen konnten sogar wieder rückgängig gemacht werden, da durch die digitalen Tickets die "missbräuchlichen Transaktionen" identifiziert werden konnten. Zudem habe Eventim die Gelder von Käufern der gestohlenen Tickets sichern und sie zurückerstatten können.

Eventim schaltet Strafverfolger ein

Das Unternehmen hat die Polizei eingeschaltet. Die "Passwörter von Konten, die wir als potenziell gefährdet einstufen", habe man zurückgesetzt. Eine Sperre von Benutzerkonten habe nicht stattgefunden, jedoch wurde der Ticketverkauf für die Taylor-Swift-Tournee temporär ausgesetzt.

Eventim gibt deutliche Tipps: "Da E-Mail- und Passwort-Daten eingesetzt wurden, die sehr wahrscheinlich schon länger im Umlauf sind, empfehlen wir Nutzern, zunächst Ihr E-Mail-Passwort und im Anschluss das Passwort ihres Kundenkontos zu ändern". Zwar werden beim Credential Stuffing auch andere Passwörter zu Nutzernamen durchgetestet, aber das ist der wichtigste und naheliegendste Tipp für Betroffene. Diese Angriffe finden seit einiger Zeit auch vermehrt statt, hat kürzlich Identitäts- und Zugangsverwaltungsdienstleister Okta gewarnt.

Da ausschließlich digitale Tickets zum Einsatz kommen, habe Eventim die Diebstahlversuche erkannt und diese "weitestgehend unterbunden". Das Unternehmen habe seine Kunden direkt kontaktiert und auch dort Hinweise "für den Einsatz sicherer Passwörter beim Einkauf im Internet" gegeben. Zum Meldungszeitpunkt konnte Eventim im Gespräch mit heise online noch nicht sagen, ob die Einführung einer Mehr-Faktor-Authentifizierung geplant ist. Diese hätte den unbefugten Zugriff auf die Konten weiter erschweren oder gar verhindern können.

(dmk)