FIFA 22 - Erschreckend einfach: EAs Kundenservice gibt Hackern Zugang zu dutzenden Nutzerkonten

Bekannte FIFA-Pros müssen um ihre Konten fürchten.

Bei den Worten Hacker und Nutzerkonten läuft es vielen kalt den Rücken herunter. Der neueste Angriff gilt FIFA 22 und EA. Über den Kundenservice des Publishers gelangten Angreifer an „geschätzt knapp 50 Accounts“. Dabei wurde das System nicht gehackt, sondern durch geschickte Manipulation von Menschen umgangen.

Die "gute Nachricht": Laut EA handelt es sich ausschließlich um Konten von bekannten Spieler*innen. Damit sind vermutlich große Streamer und erfolgreiche FIFA-Pros gemeint. Wenn ihr nicht gerade in der Weltspitze mitspielt, solltet ihr von der Attacke also nicht betroffen sein.

Deshalb gab der Kundenservice von EA die FIFA-Konten frei

Die Hacker nutzten sogenanntes „Social Engeneering“, um den Mitarbeiter*innen des Kundenservice die Daten zu entlocken. Dabei werden „menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität ausgenutzt, um Personen geschickt zu manipulieren“ (via bsi.bund). Was genau vorgefallen ist, gibt EA nicht bekannt, aber offenbar kam es unter anderem zu Drohungen.

So funktioniert das im Einzelfall: Streamer und Influencer sind wichtige PR-Werkzeuge für die Publisher, und wenn eine solche Person – oder jemand, der sich als eine solche ausgibt – bei einem Kundenservice anruft, kann es durchaus passieren, dass sie einen Vertrauensvorschuss genießt. Hier wird die Angst der Personen beim Kundenservice genutzt, von einem wichtigen Kooperationspartner beim Arbeitgeber angeschwärzt zu werden.

Im Live-Chat nennt der Hacker die PSN-ID oder den Gamertag eines bekannten FIFA-Accounts und gibt an, seinen Zugang verloren zu haben. Dann werden die oben genannten Techniken genutzt, um die Änderung der Mailadresse und des Passworts durchzusetzen (via Mirror).

Deshalb werden die FIFA-Konten gehackt: Sicherlich geht es den Hackern nicht (nur) um den Spaß. Wurde ein Account gekapert, verkaufen die Angreifer die teuren FUT-Karten und verschieben die so verdienten Münzen auf ein anderes Konto. Allerdings erhalten die Betroffenen ihre Verluste von EA meist wieder zurück.

EA will reagieren

Menschliche Fehler lassen sich natürlich nie ausschließen, aber sie können minimiert werden. Deshalb verspricht EA, ihr Team in Sachen Konten-Sicherheit und Phishing-Techniken noch einmal explizit zu schulen. Zudem müssen Änderungen der E-Mail-Adresse in Zukunft von einem Manager bestätigt werden.

Auch die Software soll über die Zwei-Faktor-Authentifizierung hinaus weitere Sicherheits-Mechanismen erhalten. Konkret werden Erkennungsprogramme für verdächtige Aktivitäten und Konten genannt.