Phishen

Gab es bei euch auch shcon Versuche, die Passwörter euerer Spieler durch phishing rauszubekommen?
Ich habe da zur Zeit so einen Fall. Die Domain meines Spiels ist vampires-dawn.net. Jetzt irgendjemand die Domain vampires-dawn.com registriert und dort eine Seite aufgestellt, die meiner bis aufs Haar gleicht nur mit dem Unterschied, dass beim Login das Passwort erst noch abgefangen wird, bevor auf meine Seite weitergeleitet wird.
Ich hab durch whois natürlich gleich rausgefunden, wer das ist und demjenigen einen bösen Brief geschrieben. Und dessen Domainverwalter habe ich auch gleich angeschrieben. Aber was macht ihr in so einem Fall?

Naja auf jeden Fall solltest du, eine Meldung gut sichtbar auf möglichst allen Seiten platzieren, am besten noch einen Newsletter schreiben, dass Phishinggefahr besteht. Dann solltest du abwarten was du für Antworten auf deine Briefe bekommst.

zudem hat er sich glaube ich strafbar gemacht da er grafiken und htmlcode 1:1 übernommen hat

Original von Sogil
Ich habe da zur Zeit so einen Fall. Die Domain meines Spiels ist vampires-dawn.net. Jetzt irgendjemand die Domain vampires-dawn.com registriert und dort eine Seite aufgestellt, die meiner bis aufs Haar gleicht nur mit dem Unterschied, dass beim Login das Passwort erst noch abgefangen wird, bevor auf meine Seite weitergeleitet wird.

Original von Sogil

Ich hab durch whois natürlich gleich rausgefunden, wer das ist und demjenigen einen bösen Brief geschrieben. Und dessen Domainverwalter habe ich auch gleich angeschrieben. Aber was macht ihr in so einem Fall?
noch mehr , sag mal, hast du dich schonmal mit ©-recht und Urheberrecht in Deutschland auseinandergesetzt?, oder dich in die internationalen formen desselben eingelesen
Scheinbar nicht...
ab zum rechtsverdreher -> informieren, mit dem ab zur Polizei -> anzeige sofern möglich
Wenn jemand meinen Content kopiert und selbiges auch noch 1:1 uebernimmt, dann lauf ich erst rot an, beginne im 14k herz bereich zu pfeifen und vibrieren und suche dann das mobilteil des telefons welches in diesem moment dann natuerlich murphys law folgend unauffndbar ist

fällt das nicht auch unter den neuen "computerkriminalität"-paragraphen?
so von wegen abfangen von daten, die nicht für einen bestimmt sind?
zur not reicht auch tatbestand betrug. wenn er nen deutschen server hat, dann kommt die polizei da auch schnell dran.
also ich kann bringer nur zustimmen. Anwalt anrufen, kurz abklären und dann nicht lange mit einer anzeige fackeln.

Hm.
Gleich zur Polizei. Die bieten auch eine grundlegende Rechtsberatung an, wenn du eine Anzeige erstatten willst (was du in dem Falle tun solltest).

Je länger ich drüber nachdenk, desto mehr: Geh zur Polizei. Unbedingt, denn: Auch wenn es blöd ist, viele Leute verwenden dieselben Passwörter ständig, so das es sein kann - bei dir fischt er, woanders probiert er dann rum und baut viel mehr Schaden als gedacht. Bei der Vorgehensweise ist ja ziemlich klar, dass ne betrügerische, bzw täuschende Absicht vorliegt. Und selbst wenn es nur irgendein verstrahltes Kid sein sollte, was solchen Unfug lustig findet (was jetzt mal der harmlosete Fall wäre) - beim nächstenmal kann es dann schon nicht mehr um den Spaß alleine gehen.

Würde dir da raten erstmal ohne Anwalt ne Anzeige zu erstatten (es sei denn du hast Rechtsschutz). Ist die Seite nicht in Deutschland hast du wenig Chancen da was auszurichten. Warum also dann ne Menge Geld rauswerfen? Ein Anwalt bringt ohne gehörig Geld im Hintergrund nichts in den USA/Thailand oder wo auch immer die Seite gehostet wird.
Newsletter, Warnungen (gut sichtbar auf der Startseite!) und Anzeige sind die realistischen Möglichkeiten dagegen anzugehen.
Edit:
was mir einfällt: ne Online-Banking Software macht das bei mir so: es zeigt dir deinen PIN mit 8 Ziffern als Sterne an und fordert dich auf die 2te und 5te Ziffer (zufällige Auswahl der angezeigten/einzugebenden Ziffern) einzugeben. Bie Passwörtern wäre dies theoretisch auch möglich. Jedoch muss man hier als Betreiber das Userpasswort kennen und Phishing ist nicht mehr möglich. Wie denn? Man muss ja die nicht eingegeben Zeichen kennen oder ein komplett anderes Logininterface bauen.

Wieso löst denn das das Phishing-Problem?
Die Phishing-Website kann ja auch im Hintergrund die Original-Website aufrufen und praktisch als Vermittler zwischen Nutzer und Website dienen. Nach genügend vielen Loginversuchen hat man auch ein vollständiges Kennwort.
Zum Topic:
Versuche über den Referrer zu ermitteln, ob der User von der Phishing-Site kommt und gebe eine klar und deutliche Warnung, dass der Nutzer auf eine Phishing-Site reingefallen ist und empfehle den Nutzer eine Anzeige gegen den Betreiber.

Auf jeden Fall sofort zur Polizei. Die Webseite ist bei 1&1, der Typ sitzt in Berlin, klare Sache.
Und ich würde auf sowas wie "Gefahr im Verzug" hinweisen, damit sich da schnell was tut.

Hehe. Wieso denn gleich zur Polizei rennen? Es gibt doch lustigere Möglichkeiten so jemandem nen Denkzettel zu verpassen.
ha.ckers.org/blog/20060712/sometimes-it-sucks-being-a-search-engine-spammer/

Ganz schlechte Idee. Wenn das ein ausgewachsener Phisher ist, hat er auch nen guten Anwalt. Und der zieht Dir die Hammelbeine lang, wenn Du mit Selbstjustiz kommst.

Original von TheUndeadable
Wieso löst denn das das Phishing-Problem?
Die Phishing-Website kann ja auch im Hintergrund die Original-Website aufrufen und praktisch als Vermittler zwischen Nutzer und Website dienen. Nach genügend vielen Loginversuchen hat man auch ein vollständiges Kennwort.

Das müsste aber zentral erfolgen oder über ein Netzwerk. Letzteres wäre ein riesiger Aufwand. Ein zentraler Aufruf deiner Seite von einer anderen lässt sich mit einfachsten Mitteln finden und unterbinden.
Es löst das Problem in so fern, dass der Aufwand riesig wird zu phishen. Ich muss den User mehrmals über meine Seite einlogen lassen, ein simples $_POST['pass'] reicht nicht aus um an die Daten zu kommen. Phishen hat Hochkonjunktur weil es so einfach ist und kaum Kosten verursacht.
@COrthbandt: Wenn das ein ausgewachsener Phisher wäre, wäre er nicht bei 1&1 sondern im Ausland. Nebenbei würde er doch niemals ein Browsergame phishen...
Was will man denn dabei verdienen?!?

gerade als phisher würd ich mir bgs aussuchen.
wieso?
na weil > 90% der user ihr passwort nicht nur bei 1 anbieter verwenden.
über weitere medien wie z.b. das forum, das ingame-profil etc. kann man leicht an die email-adresse kommen.
ich habe die erfahrung gemacht, dass viele leute nur 1-2 verschiedene passwörter nutzen.
nun komme ich (geschätzt) bei ca. 10-20% an den email-account.. wie viele davon sind wohl bei ebay angemeldet? wie viele nutzen paypal + diese emal-adresse?
wie viele kontaktdaten kann ich mir zuschicken lassen?
und wenn ich nicht an die email komme, kann ich die daten dennoch missbrauchen.. z.b. kann ich ingame-spam mit gekaperten accounts machen.. oder den acc auch einfach löschen.
viele leute sind sich nicht bewusst, wie einfach sowas geht und gehen sehr leichtsinnig mit ihren daten um.

@COrthbandt: Wenn das ein ausgewachsener Phisher wäre, wäre er nicht bei 1&1 sondern im Ausland.

Und ich denke, dass ein professioneller Phisher auch nicht so töricht ist seine whois Daten so einfach preiszugeben.

Original von Drezil
viele leute sind sich nicht bewusst, wie einfach sowas geht und gehen sehr leichtsinnig mit ihren daten um.

Schon, aber Phshing ist wie Spam. Solange ich mit einfachsten Mitteln tausende Euro verdienen kann, werde ich doch nicht so viel Aufwand betreiben für die paar hundert Euro (wenn überhaupt). Phishing macht nur Sinn wenn ich als Mensch nicht eingreifen muss. BGs sind kein Angriffsziel von Phishing im großen Maß.
Ist genau derselbe Grund warum es unter Solaris & anderen exotischeren OS so wenig Viren gibt. Die Wirtschaftlichkeit ist verschwindend gering, jeder der damit sein Geld verdient wird sich nach dem Markt richten. Und da ist Windows weit vorne.

Also der Hoster hat auf jeden Fall schnell reagiert und die Seite vom Netz genommen. von dem Typen selber habe ich auf jeden Fall noch keine Antwort auf meine E-Mail bekommen.
Bin ich echt der erste, dem sowas passiert ist? Immerhin hab ich doch nur ein relativ kleines und unbekanntes BG.
Da derjenige so dumm war, seinen Namen im whois zu hinterlassen, denke ich doch eher, dass das ein Spieler war.

Original von Drezil
fällt das nicht auch unter den neuen "computerkriminalität"-paragraphen?
so von wegen abfangen von daten, die nicht für einen bestimmt sind?

Um das zu beanworten: Der neue Paragraph (bzw. §202b,c StGB) ist noch nicht gültig, er ist bisher nur durch den Bundestag.
Außerdem geht es hier um die Verwendung von Hackertools, primär also um Netzwerküberwachung/Netzwerkverkehrsniffer, das dürfte bei unseren Onlinegames weniger auftreten.
Nö, bestimmt nicht der erste. Die Leute werden mit der Zeit aber halt auch immer raffinierter. Vielleicht ist es zT auch etwas persönliches, wenn du sagst, ihr seid so klein. Entweder also gegen dich, oder gegen einen (bestimmten) Spielerkreis?

Bin mal gespannt, wie die Sache ausgeht!
Hier könnte man vielleicht künftig mit den GN-News entsprechende Warnungen an die User senden, um größeren Schaden zu verhindern - oder?

hi
auch wenn die seite nicht mehr da ist, würde ich dir nur raten eine anzeige zu erstatten
hier gehts auch online (geile erfindung wie ich finde)

ebenso" target="_blank">https://service.polizei.nrw.de/egovernment/service/anzeige.html
ebenso würde ich mal mit einem anwalt sprechen, welche schadenersatzansprüche du eventuell hast.
mag pingelig erscheinen, aber bei sowas gilt kein pardon
*G*
Der Typ steht ja sogar mit telnummer drin... ist ja praktisch^^

Moin.
Also ich würde auch direkt Anzeige machen, ab zur Polizei.
Und mit dem Referer auch eine sehr gute Idee.
Am besten machst du auf der Startseite direkt dick und fett einen Warnhinweis damit auch wirklich jeder User bescheid weiß, wenn das noch nicht geschehen ist.
mfg prt
vampires-dawn.com offline bei mir