Netflix-Angriff: Gmail-Nutzer müssen auf Punkte achten

Nutzer das Video-Streaming–Dienstes Netflix, die sich ihr Konto mit einer von Google betreuten Gmail-Adresse erstellt haben, sollten in E-Mail-Benachrichtigungen des Unternehmens genau auf die Schreibweise des Adressaten achten.

Während Googles E-Mail-Dienst Punkte an beliebigen Stellen in eure E-Mail Adresse geflissentlich übersieht und eine E-Mail an TomTomaso@gmail.com ebenso zustellt wie eine E-Mail an Tom.Tomaso@gmail.com, erkennt Netflix hier zwei unterschiedliche E-Mail-Adressen und gestattet entsprechend die Registrierung zwei unterschiedlicher Konten.

Angreifer, darauf macht der Blogger James Fisher aufmerksam, seien so in der Lage neue Netflix-Konten (etwa Tom.Tomaso@gmail.com) unter Einsatz leicht modifizierte Gmail-Adressen bereits existierender Konten (zum Beispiel: TomTomaso@gmail.com) zu erstellen. Netflix selbst verifiziert die Mail-Adresse während der Konto-Einrichtung nicht und zeigt zudem sogar an, wenn E-Mail-Adressen bereits vergeben sind.

Die Folge: Läuft der Probe-Monat des Angreifers aus, schickt Netflix eine E-Mail mit der Bitte die Kreditkarten-Daten zu aktualisieren. Diese landet dank Google jedoch nicht beim Angreifer sondern beim Nutzer des eigentlichen Kontos (TomTomaso@gmail.com) und befördert einen Link zum Netflix-Portal der keinen Login benötigt.

Übersieht das Opfer den Punkt in der E-Mail-Adresse und hinterlegt die eigenen Kreditkarten-Daten freut sich der Angreifer über eine bezahlte Netflix-Mitgliedschaft mit hinterlegten Zahlungsdaten.

Es ist davon auszugehen, dass Netflix das Einfallstor in den kommenden Tagen schließen wird, bis dahin solltet ihr neue E-Mail- Benachrichtigung des Streaming-Dienst es jedoch mit Adleraugen lesen und auf überflüssige Punkte hin inspizieren.