Sicherheitslücke bei RockYou
Hacker stiehlt und veröffentlicht 32 Mio Nutzerdaten von Onlinedienst.

Sicherheitsforscher haben im Dezember 2009 eine SQL-Injection-Sicherheitslücke des Online-Dienstes RockYou entdeckt, die bereits im November 2009 in Hackerforen diskutiert wurde. Infolgedessen wurde das Unternehmen am 4. Dezember 2009 über den Sachverhalt informiert.

So soll es möglich gewesen sein, auf Namen, Passwörter und E-Mail-Adressen von Nutzern des Dienstes zuzugreifen, die in Klartext gespeichert wurden. Außerdem wurden auch die Zugangsdaten der Nutzer zu Partnerdiensten wie MySpace und E-Mail-Dienstleistern kompromittiert. Die Sicherheitslücke wurde umgehend von dem Online-Dienstleister geschlossen.

RockYou informierte Kunden 10 Tage nach dem Schließen der Sicherheitslücke über den Vorfall, behauptete dabei aber, dass nicht alle Nutzer betroffen sind.

Ein Hacker, der sich selbst "igigi" nennt, hat in einem Post in seinem Blog am 15. Februar 2009 behauptet, dass er über die Daten von 32.603.388 Kunden, was alle damaligen Kunden von RockYou waren, verfüge. Zum Beweis für den tatsächlichen Besitz veröffentlichte der Nutzer personenbezogene Informationen von ca. 24 Betroffenen, zensierte die Passwörter dabei aber.

Im späteren Verlauf wurden sämtliche Passwörter ohne die dazugehörigen E-Mail-Adressen oder Namen hochgeladen.