Xbox Live: Kolejne włamania... Jest "polski ślad"!

[Xien]

Jakiś czas temu pisaliśmy o włamaniach na konta Xbox Live – złodzieje wykorzystywali profile ofiar do kupowania dodatków DLC i punktów MSP korzystając z połączonych z nimi numerów kart kredytowych. W sieci pojawiły się kolejne doniesienia w podobnej sprawie. I - przynajmniej w tym przypadku - okazuje się, że w proceder zaangażowani są m.in. Polacy.



Użytkowniczka Xbox Live, która swoje wrażenia opisuje na blogu Hacked on Xbox, donosi, że 2 stycznia otrzymała kilka maili potwierdzających zakup w sumie 10 tysięcy MSP oraz familijnego pakietu złotych kont. Problem w tym, że ona ich nie nabyła, a punkty, jak i zestaw zostały przeniesione na inny profil. Okazało się też, że pobrana została odpowiednia kwota z konta PayPal użytkowniczki.
Po kontakcie z pomocą techniczną Microsoftu, firma obiecała zablokować konto ofiary do czasu wyjaśnienia sprawy. W zamian za to otrzymała darmowy kod na 30-dniowy abonament gold do wykorzystania na nowym, tymczasowym profilu.
Następnego dnia okazało się jednak, że konto użytkowniczki nie zostało zablokowane – wręcz przeciwnie. Za jego pomocą nabyto kolejne 10 tysięcy MSP, które przekazano na profil o nazwie RipplyCorgi16. Po ponownym kontakcie z Microsoftem okazało się, że – wbrew wcześniejszym zapewnieniom – firma nie może zablokować konta. W sumie autorka bloga Hacked on Xbox została okradziona na 366 dolarów.
Zwrot w sprawie nastąpił 5 stycznia. Po zalogowaniu się na dotychczasowe konto Xbox Live (wciąż aktywne) użytkowniczka zauważyła, że na liście znajomych posiada niejakiego RipplyCorgi16 – tego samego, któremu przekazano ostatnią partię punktów MSP.
Hacked on Xbox nie zastanawiając się długo napisała do niego wiadomość z pytaniem, kim jest i kiedy dodał ją do znajomych. Poniżej znajdziecie treść wymienionych maili:
RipplyCorgi16:

Nie mam pojęcia. Kupiłem dopiero to konto na serwisie aukcyjnym.

Hacked on Xbox:

Rozumiem! Kto ci go sprzedał? : )

RipplyCorgi16:

Sorry, nie pamiętam. Tak naprawdę kupiłem go od pośrednika z mojego kraju. Jestem z Polski. Ty jesteś najprawdopodobniej ze Stanów?

Hacked on Xbox:

Ach, okej! Jak się on nazywał? Ma swoją stronę lub konto w Xbox Live?

RipplyCorgi16:

Nic z tego. Znalazłem go na allegro.pl. To jest taki eBay, ale polski. Czemu jesteś taka ciekawa? ;->

Hacked on Xbox:

Chciałam tylko wiedzieć, czy go znam, lol! Jaki ma tam pseudonim?

RipplyCorgi16:

Jego login na Allegro to xxxx. Email to xxxx. Jest także Polakiem, ale mieszka w Wielkiej Brytanii, możesz się więc z nim skontaktować w języku angielskim.

Kilka godzin później użytkowniczka zdobyła numer Gadu-Gadu złodzieja. Na razie jednak się z nim nie skontaktowała. Przeprowadziła też krótkie śledztwo, z którego wyłonił się obraz złodziejskiego procederu. Zamyka się on w siedmiu punktach. Jak pisze:

Krok pierwszy: zdobądź nazwę użytkownika/hasło konta, które jest akurat używane (Nie jestem w stanie rozpracować, jak zdobywa te informacje)
Krok drugi: Kup złote konto rodzinne dla tego shakowanego konta (dzięki temu może przerzucać punkty pomiędzy kontami, które oznaczy jako rodzinę)
Krok trzeci: Kup 10 tysięcy MSP (4000/6000)
Krok czwarty: stwórz wiele (konkretna liczba nieznana) nowych kont (z reguły amerykańskie)
Krok piąty: Przenieś wszystkie kupione punkty na te konta (porozdzielaj na różne, albo przenieś całość bezpośrednio na jedno konto)
Krok szósty: Sprzedaj konto za mniejszą kwotę, niż Microsoft chciałby za same punkty
Krok siódmy: przewiń, potwórz, zyskzyskzysk.

Warto zwrócić uwagę, że to nie jedyne tego typu przypadki w ciągu ostatnich kilku miesięcy. W grudniu redaktor serwisu Shacknews, Xav de Matos padł ofiarą hakerów. Przedstawiciele Microsoftu oznajmili mu, że najprawdopodobniej został zaatakowany metodą phisingu (a więc nie hakerskiego ataku podobnego do tego na PlayStation Network). Z redaktorem skontaktowali się również inni użytkownicy, których konta zostały okradzione – w jednym przypadku za cel obrano sobie nawet profil w usłudze Games for Windows Live. Trudno jednak powiedzieć, jak wielka jest skala zjawiska.

źródło: cdaction.pl