Houseparty: Wie sicher ist die Video-Chat-App von Epic Games?

Bildrechte
Epos

Am Wochenende kursierten die Nachrichten: "Lösche die Houseparty-App, sie hat meinen Spotify-Account gehackt!"

Wie viele Gerüchte wurden die Beiträge in beiden öffentlichen Netzwerken wie Twitter und Facebook viralisiert und Foren auf WhatsApp und Snapchat geschlossen.

Sie sind so weit verbreitet, dass Houseparty selbst sagt, es sei ein Opfer einer "bezahlten kommerziellen Abstrichkampagne".

Der Eigentümer der US-Firma, Epic Games, bietet jetzt ein Kopfgeld in Höhe von 1 Mio. USD (803.000 GBP) an, um zu beweisen, dass hinter den Behauptungen ein "böswilliger Schauspieler" steckt.

Hackt Houseparty also Leute?

In der Welt der Informationssicherheit herrscht Konsens darüber, dass es höchst unwahrscheinlich ist, dass die App aktiv in die anderen Konten der Benutzer einbricht.

Obwohl Houseparty bis zur Pandemie relativ unbekannt war, wurde es im Juni letzten Jahres von der etablierten Firma hinter dem Erfolgsspiel Fortnite übernommen.

"Diese Beiträge scheinen ganz klar zu implizieren, dass Houseparty eine Schurken-App ist, die aktiv in jeden Teil Ihres digitalen Lebens einbricht und ihn in einem entschlossenen Ausbruch der Kriminalität plündert", sagt Paul Ducklin, ein Forscher des Cyber-Sicherheitsunternehmens Sophos.

"Dies ist jedoch eine Mainstream-App, die von einem bekannten Softwareunternehmen in den offiziellen Online-Shops von Apple und Google veröffentlicht wurde."

Das soll nicht heißen, dass Houseparty zu groß ist, um gehackt zu werden. Es gibt zahlreiche Beispiele für gut ausgestattete Unternehmen mit fehlerhaften Produkten und viele andere Beispiele für Unternehmen, die fälschlicherweise leugnen, dass sie wissentlich gehackt wurden oder nicht.

Die Art dieses Vorfalls entspricht jedoch nicht der üblichen Cyberkriminalität.

"Wenn eine Cyber-Crime-Gruppe gegen ein Unternehmen verstößt oder eine Benutzerkontodatenbank herunterlädt, werden die Daten normalerweise zu einem hohen Preis verkauft und sehr sorgfältig verwendet", erklärt Elliott Thompson, Berater bei SureCloud.

"Wenn eine Betrugsgruppe Daten für 10.000 US-Dollar gekauft hätte, wäre es finanziell nicht sinnvoll, die Daten zu verbrennen, indem versucht wird, Konten für Streaming-Dienste zu stehlen.

"Wenn der Verstoß weit verbreitet wäre, würde er normalerweise in öffentlichen Foren erscheinen, und wir haben so etwas sicherlich noch nicht gesehen."

Experten sagen, dass die mutmaßlichen Verstöße wahrscheinlich mit nicht verwandten Hacks zusammenhängen, und es ist ein Zufall, dass Menschen kurz nach dem Herunterladen der Chat-App einen Sturz melden.

"Wenn Benutzer dieselben Passwörter und E-Mail-Adressen für viele verschiedene Dienste verwenden, müssen Hacker nur auf eine dieser Website-Datenbanken zugreifen und haben plötzlich Zugriff auf alle Ihre Konten", fügt Ducklin hinzu.

"Da Houseparty die neue App auf den Handys so vieler Menschen ist, könnten die Leute gerade deshalb mit den Fingern in diese Richtung zeigen."

Gibt es eine koordinierte Anstrengung, um Houseparty zu beschmieren?

Epic Games scheint sicherlich darauf hinzudeuten, dass es eine organisierte Kampagne gibt.

"Unsere Untersuchung ergab, dass viele der ursprünglichen Tweets, die diese Behauptung verbreiten, gelöscht wurden und wir festgestellt haben, dass Twitter-Konten gesperrt sind", heißt es.

Die BBC sprach jedoch mit zwei Personen, deren Beiträge weit verbreitet waren und die offenbar in keiner Weise koordiniert sind oder bezahlten Bestellungen folgen.

Eine Frau sagte, sie habe eine Warnung und einen Rat zum Löschen der App veröffentlicht, nur weil sie anderen helfen wollte.

Bildrechte
PA Media

Eine andere 26-jährige Frau aus Schottland hat getwittert, dass sie und die Spotify-, Amazon-, PayPal- und Online-Bankkonten ihrer Freundin seit dem Herunterladen von Houseparty gehackt wurden.

Sie spricht telefonisch mit der BBC und gibt zu, dass sie keine Beweise dafür hat, Houseparty mit ihrem kompromittierten Spotify-Konto zu verknüpfen. Sie sagt, sie habe die Verbindung erst hergestellt, nachdem sie einen Screenshot von jemand anderem gesehen hatte, der eine ähnliche Behauptung aufstellte.

"Ich und meine Freunde haben Houseparty fast jeden Abend benutzt, seit der Virus begann, und wir haben es wirklich genossen, die Spiele als Gruppe zu spielen, aber dann passierten zwielichtige Dinge", erklärte sie.

"Ich habe eine E-Mail von Spotify über verdächtige Aktivitäten erhalten, in der darauf hingewiesen wurde, dass jemand versucht hat, sich in meinem Konto anzumelden, sodass ich mein Passwort geändert habe. Dies ist erst geschehen, seit ich die App heruntergeladen habe, und als ich meinem Gruppenchat davon erzählte, haben einige Leute darüber gesprochen Ich sagte auch, dass ihnen seltsame Dinge passiert sind, also haben wir sie gelöscht und ich habe andere gewarnt. "

Die Frau gibt zu, dass sie in mehreren Onlinediensten dasselbe Passwort und dieselbe E-Mail-Adresse verwendet und war daher bereits einem relativ hohen Risiko ausgesetzt.

Ist die App dann sicher?

Epic Games besteht darauf, dass die Kundendaten sicher sind.

"Passwörter werden in einer sicheren Datenbank gespeichert, gesalzen und gehasht, gemäß den branchenüblichen Best Practices", sagt ein Sprecher.

Und Sicherheitsexperten, die das Produkt jetzt im Detail untersuchen, sagen, dass nichts Offensichtliches auffällt.

"Die Berechtigungen läuten für mich keine Alarmglocken für den Datenschutz", sagt Lukas Stefanko von Eset.

"Die App bietet Video-Chats mit Ihren Freunden, daher ist es logisch, dass sie nach Zugriff auf Kamera, Kontakte, Standort usw. fragt. Ich habe keinen zwielichtigen Missbrauch von Daten gefunden."

Einige Funktionen der Apps haben jedoch aus einem anderen Grund Anlass zur Sorge gegeben – der Sicherheit von Kindern.

"Obwohl die App relativ sicher ist, da Benutzer 'Räume' erstellen und nur bestimmte Namen der Personen auswählen können, mit denen gesprochen werden soll, können andere Personen in den Video-Chat einsteigen, wenn ein Kind seinen Chatraum nicht 'sperrt' und keine privaten Einstellungen auswählt ", Warnt die Wohltätigkeitsorganisation Internet Matters.

"Daher ist es wichtig, dass Sie Ihrem Kind zeigen und sich mit ihm zusammensetzen, um Datenschutzfilter und andere Steuerelemente beim Video-Chat einzuschalten. Dadurch bleiben Video-Chats privat und sicher."