27.07.2015 um 09:30 Uhr:
Valve hat eine große Sicherheitslücke bei Steam geschlossen, die in den
letzten Tagen dazu genutzt wurde, Accounts zu übernehmen. Dazu reichte
es schon aus, den Nutzernamen des entsprechenden Kontos zu kennen, um
das Passwort zu ändern. Die entsprechende Sicherheitsabfrage ließ sich
anscheinend leicht umgehen.

Normalerweise sollte es dank Sicherheitsabfragen für Unbefugte
recht schwer sein, das Passwort eines Steam-Kontos zu ändern, da ein per
E-Mail versendeter Code eingegeben werden muss. Doch die entsprechende
Funktion bei Steam wies eine große Sicherheitslücke auf. Es reichte aus,
für einen bestehenden Steam-Account die "Passwort vergessen"-Funktion
auszurufen und dann bei der Abfrage des versendeten E-Mail-Codes das
Feld einfach leer zu lassen. Trotzdem wurde die Änderung eines
Passwortes für den betroffenen Account akzeptiert.

Viel einfacher dürfte die Übernahme eines fremden Kontos wohl
kaum noch möglich sein. In der Zeit zwischen dem 21. und dem 25. Juli
2015 kam dies laut einem Bericht bei Kotaku in vielen Fällen vor.
Betroffen waren auch recht bekannte Dota2-Profis. Laut Valve handelte es
sich bei dieser Sicherheitslücke nur um einen "Bug", der inzwischen
behoben sei. Nutzer, bei deren Accounts in der genannten Zeit ihr
Passwort auf "verdächtige" Weise geändert wurde, werden eine E-Mail von
Valve mit einem vorläufigen Passwort erhalten, mit dem sie dann bei
Steam einloggen und wieder ihr eigenes Passwort festlegen können.

Valve
betont in einer Stellungnahme, dass durch die Sicherheitslücke zwar das
Passwort geändert werden konnte, das zu diesem Zeitpunkt gespeicherte
Passwort aber nicht angezeigt wurde. Bei Steam-Konten mit aktivem Steam
Guard wurde das Login von Fremden außerdem selbst nach einer Änderung
des Passwortes verhindert, da Steam Guard ebenfalls eine E-Mail mit
einem Code verschickt, der für die Autorisierung eines neuen Rechners
eingegeben werden muss. Hier scheint die Codeprüfung also funktioniert
zu haben.

Neben der Sicherheitslücke war Steam am Sonntagabend schwer erreichbar - es gab zumindest gehäuft Störungsmeldungen.

Quelle: Quelle: PC Games