Ein brasilianischer Streamer wurde im deutschen MMORPG Tibia jetzt betrogen und beklaut, während er seinen Spielverlauf live übertrug. Er fiel auf einen cleveren Trick rein, der mit seinen Emotionen spielte. Der Betrüger gaukelte ihm vor, der Streamer werde im offiziellen Forum des MMORPGs beschuldigt, sich mies zu verhalten.
Das war die Situation:
- Der Brasilianer Moutinho spielte das MMORPG Tibia mit seinem Charakter der Stufe 523.
- Dabei übertrug er sein Gameplay über „livepix.gg“, das ist ein portugiesischsprachiger Dienst, über den Content-Creator Geld verdienen können. Er hatte als Spendenziel 1.000 brasilianische Real ausgeschrieben, das sind etwa 190 €.
- Da erreichte ihn plötzlich ein Nachricht.
Betrüger gibt sich als Gildenleiter aus und sagt: Streamer habe Ärger im Forum
So funktionierte der Betrug: Der Betrüger trat dem Discord-Channel bei, in dem der Streamer war, und tat so, als sei er einer der Leiter der Gilde des Streamers, indem er den Nicknamen anpasste.
Der vermeintliche Gildenchef sagte dem Streamer dann, er habe sich in Tibia falsch verhalten und es gäbe einen Thread über ihn im offiziellen Forum von Tibia. Der Streamer solle jemanden anderen in Tibia geschädigt, seinen Tod verursacht haben.
Moutinho solle sich doch im Forum zu den Anschuldigungen: äußern und sie ausräumen.
Der vermeintliche Gilden-Chef gab dem Streamer dann einen Link zum Foren-Thread. Doch um den Thread zu sehen, musste sich der Spieler dort mit seinem Foren-Account einloggen, der gleichzeitig den Spiel-Account darstellt.
Das Gemeine: Der vermeintliche Foren-Link sah nur so aus wie ein offizieller Link, in Wirklichkeit führte der Link aber lediglich zu einem Duplikat des Forums mit allen Tabs und Fenstern – ein reiner Fake, um die Account-Daten des Spielers abzugreifen.
Das war die Konsequenz: In dem Moment, als der Hacker die Account-Daten und das Passwort des Streamers hatte, loggte er sich in den Account des Streamers und warf ihn damit aus dem laufenden Spiel.
Nun löschte der Betrüger erst all seine Charaktere und nahm dem Streamer damit die Möglichkeit, auf den Account zuzugreifen. Rasch stellte der Betrüger die Charaktere wieder her und räumte die Chars des Streamers leer, stahl die besten Items und die Echtgeld-Währung Tibia-Coins.
Der Streamer stellte zwar rasch fest, dass da irgendwas gar nicht okay war, doch als er seinen Fehler bemerkte, war er schon vom Account ausgeschlossen und es war zu spät, um darauf zu reagieren.
Der brasilianische YouTube-Kanal „Tibia Ferumbrinha“, der über den Vorfall berichtet, warnt: Das könne jedem passieren, im Spiel und im echten Leben. Was dem Streamer widerfahren ist, sollte jedem eine Lehre sein.
Wir binden euch das Video über das Schicksal von Moutinho ein:
Hack spielt clever mit den Gefühlen von MMORPG-Spielern
Das steckt dahinter: Der Hacker macht sich hier einige Eigenheiten von Tibia zunutze. Vor allem, dass der Foren-Account dem Spiel-Account entspricht, ist ein Einfallstor für solche Hacks.
Dennoch muss man zugeben, dass der Hack clever mit Emotionen spielt: Dass unberechtigte öffentliche Anschuldigungen
gegen einen selbst im Raum steht, löst erstmal so eine starke emotionale Reaktion ist, dass man darüber jede Vorsicht vergisst.
Mehr zum deutschen MMORPG Tibia, das in Regensburg entwickelt wird:
Deutsches MMORPG boomt gerade: „Am Anfang wurden wir ausgelacht“
Bitte lies unsere Kommentar-Regeln, bevor Du einen Kommentar verfasst.
Zum einen hat das ganze nichts mit hacken zu tun, man benötigt dafür keinerlei technischen Kenntnisse (eine Webseite fallen ist heutzutage auch kein wirkliches Problem mehr), es handelt sich vielmehr um social engineering, also die Beeinflussung von Menschen damit man deren Passwörter bekommt. Dieser Trick ist auch nichts neues, wird haufenweise gerade bei Spam Mails verwendet, habe schon unzählige Mails von PayPal, Amazon und wie sie alle heißen bekommen, die möglichst als echte Mails getarnt waren und links zu weitgehend echt wirkenden Webseiten hatten (wobei die meisten dieser Mails schon durch ihre miserable Rechtschreibung auffallen, aber gibt immer wieder welche wo das nicht der Fall ist und die tatsächlich echt wirken).
Dass dies über spiele versucht wird ist ebenfalls nichts neues.
Wichtigste Regel, egal wo man ist: niemals auf links klicken, wenn man sich nicht absolut sicher sein kann über die Quelle. Also links auf z.b. Nachrichtenseiten anzuklicken ist üblicherweise kein Problem, aber in Emails oder anderweitigen Nachrichten, egal ob in spielen oder irgendwelchen Chatprogrammen, sollte man nie direkt anklicken. Stattdessen die angesprochene Webseite selbst aufrufen. Zumindest bei Webseiten die einen Login erfordern ist es ja ein leichtes, deren Homepage aufzurufen, selbst wenn man die Adresse nicht im Kopf hat, dann reicht ja eigentlich immer eine kurze Google Suche um die originale Webseite zu finden.
Natürlich sollte man auch niemals das gleiche Passwort an mehreren Stellen benutzen, das funktioniert aber nur begrenzt, wie schon jemand schrieb ist z.b. bei final Fantasy XIV der Account für das Forum identisch mit dem Account für das Spiel.
Zu guter Letzt: benutzt unbedingt 2-faktor-authorisierung, wo immer dies möglich ist. Die meisten modernen spiele und Webseiten bieten dies heutzutage an. Ein Passwort, egal wie sicher es auch ist, kann immer irgendwie herausgefunden werden (z.b. durch den im Artikel angesprochenen Trick), Passwörter sind immer nur so sicher wie der Mensch, und Menschen sind halt leicht zu manipulieren. Aber mit einer 2 Faktor Autorisierung kommt man halt trotz des Passwortes nicht in den Account, selbst wenn jemand direkt im Anschluss nachdem er eure Accountdaten angegriffen hat sich selbst einloggt, wird der Code abgelaufen sein (und im übrigen wird der Code ja auch benötigt um den Code abzustellen oder das Passwort zu ändern, sprich selbst wenn der unwahrscheinliche Fall eintreten soll und jemand kommt in den Account, wird er euch nicht aussperren können). Einen besseren Schutz gibt es nicht für eure Accounts (aber trotzdem gilt auch dann immer noch: niemals das gleiche Passwort für verschiedene Accounts).
Nun das mit dem Forum kann sogar Leuten passieren die aufpassen.
Ich hatte sowas ähnliches bei FF14 .. dort ist der Forumaccount auch gleichzeitig der Spielaccount .. ich bekam zu Weihnachten dort eine Nachricht von einem Endlevel Spieler, das im Forum ein Wettbewerb stattfindet, mann sollte dort eine Frage beantworten und dann wurde IG Gold verlost.
Soweit so gut, nichts bei gedacht, den Link angeklickt der mir geschickt wurde, sah auch aus wie das offizielle Forum, selbst die Link Adresse passte. Versucht ins Forum einzuloggen, klappte natürlich nicht, und dann einfach weitergespielt. Als ich dann am nächsten Tag in FF14 einloggen wollte, stellte ich fest das mein Passwort geändert wurde, und sogar eine Sicherheitsfrage eingerichtet wurde.
Da es über Weihnachten war, habe ich meinen Account leergeräumt erst am 29.12 wiederbekommen.
Das Problem dabei war, die Forumsadresse entsprach bis auf eine Kleinigkeit der Originalen Adresse .. die Originale ist eine .com Domain, die Fake Seite hatte eine .EU Domain ..ansonsten keinerlei Unterschied. Und die Person die mich angeflüstert hat, war ebenfalls von einem gekaperten Account.
Nur so als Beispiel wie fies die heutzutage sein können …
Zwei Sekunden nachdenken hätte dir das erspart. Zum ersten, warum sollte ein high lvl acc dir das private Nachricht schicken? Und zweitens, SE würde solche Gewinnspiele immer ankündigen.
Sry, aber das ist kein Hack, sondern social engeeniring…
Wie kann man auf sowas hereinfallen? Sry, aber das ist wirklich keine neue Masche mehr.
Die Vorgehenweisen werden immer ausgebuffter.