Mittlerweile dürfte der Spruch unter Prominenten und CEOs gefürchtet sein: „Hey“, steht da in freundlichen Worten: „Wir sind OurMine. Wir testen nur deine Sicherheitseinstellungen.“ Das Problem, das Mark Zuckerberg von Facebook, Daniel Ek von Spotify und seit dem Wochenende auch Sundar Pichai von Google haben: Die Worte prangen in ihren eigenen Twitter-Timelines und Account-Beschreibungen – ohne ihre Zustimmung natürlich.
Die ominöse Gruppe OurMine hat sich im Stillen Zugang verschafft. Ein Hack, gepaart mit der Aufforderung, doch bitte ein Sicherheitsupgrade auf der OurMine-Website vorzunehmen. Die Hacker verkaufen sich dort als Sicherheitsunternehmen. Neben den oben genannten Unternehmschefs hackte die mutmaßliche Firma bereits die Accounts der Ex-Twitter-Chefs Ev Williams und Dick Costolo, den YouTuber PewDiePie und Stars wie Channing Tatum, David Guetta und Deadmau5.
+++ Twitter, LinkedIn, Myspace: ;So funktioniert der Kampf um unsere Passwörter +++
Die Hacks scheinen wenig mit Attacken zu tun zu haben, wie man sie aus der Vergangenheit kennt. Normalerwiese dient etwa Defacing (das Entstellen beziehungsweise Verunstalten von gekaperten Seiten und Accounts) vor allem dazu, politische Botschaften zu senden – etwa im Kampf zwischen Programmierern des IS und Anonymous. Das Unternehmen OurMine verkauft seine Aktionen aber als PR-Kampagne. Auf ihrer Seite führen die Organisatoren stolz jeden einzelnen ihrer Einbrüche unter dem Titel „We got Access to XY“ auf.
Genau dort bietet die Firma auch ihre Dienste an. Ein „Scan“ aller Social Media Kanäle auf Sicherheitslecks hin kann demnach bis zu 5000 Euro kosten. Die hochkarätigen Ziele scheinen vor allem dazu zu dienen, Aufmerksamkeit auf das eigene Angebot zu ziehen.
+++ Mehr von WIRED regelmäßig ins Postfach? Hier für den Newsletter anmelden +++
In einem Interview mit dem Portal Mic sagten die Köpfe hinter der hackenden Firma, sie hätten auf diese Weise schon fast 17,000 US-Dollar eingenommen. Scheinbar benutzen die drei Mitarbeiter alte Passwort-Datenbanken, um in die Social Media Accounts ihrer Opfer einzudringen.
Das erklärt auch, warum sie im Fall von Google CEO Sundar Pichai nicht den Twitter-Account selbst, sondern nur dessen Quora-Account knacken konnten, der offensichtlich nur mit einem älteren Passwort gesichert war. OurMine nutzte aber die Auto-Posting-Funktion von Quora dazu, auch Twitter-Nachrichten abzusetzen. Ob Pichai die Lösegeld-ähnliche Forderung zum Sicherheits-Upgrade wahrgenommen hat, ist nicht bekannt.
