Vorfall · mittel
Humble Bundle schwächt Login-Sicherheit nach Website-Relaunch
Tier D · Hintergrundrauschen – Gut zu wissen
Wer betroffen ist: Humble-Bundle-Konten mit Passwort-Anmeldung ohne zweiten Faktor
Tier D, weil: Trifft keine Tech-Teams
Reichweite
Angriff
Schaden
Fix
Was zu tun ist
- Passwort des Humble-Bundle-Kontos prüfen und ein eindeutiges, starkes Passwort vergeben, das nirgends sonst verwendet wird
- Prüfen, ob in den Kontoeinstellungen noch eine andere Zwei-Faktor-Option verfügbar ist
Kurz gesagt
- Beim Relaunch der Humble-Bundle-Webseite wurde die Anmeldung in zwei Schritten gestrichen, laut Golem ohne Vorankündigung.
- In den Kontoeinstellungen lässt sich TOTP nicht mehr einrichten, und beim Login wird kein 2FA-Code mehr abgefragt, so Caschys Blog.
- Die Sicherheit der Konten sinkt damit gegenüber dem bisherigen Stand.
Warum es wichtig ist
Wer ein Humble-Bundle-Konto mit Passwort als einzigem Schutz nutzt, hat nach dem Relaunch eine schwächere Absicherung. Das betrifft auch Entwicklerinnen und Entwickler, die dort Software oder Bücher gekauft haben und das Konto nutzen.
Die Checkliste hinter dem Tier
Checkliste · 0 von 10 mit Ja
| Nein | Trifft Tech-Teams | Humble Bundle ist ein Spiele- und E-Book-Shop für Endkunden, kein Entwickler- oder Ops-Werkzeug. |
| Nein | Kerninfrastruktur | Betroffen ist die Webseite eines Shops, keine Kerninfrastruktur, die Teams weltweit betreiben. |
| Nein | Verbreitetes Werkzeug | Humble Bundle ist eine bekannte Marke, aber kein weit verbreitetes Entwicklerwerkzeug oder Framework. |
| Nein | Wird ausgenutzt | Golem.de und Caschys Blog berichten über gestrichene 2FA-Optionen, nicht über Angriffe. |
| Nein | Exploit öffentlich | Golem.de und Caschys Blog nennen keinen veröffentlichten Exploit oder Proof of Concept. |
| Nein | Aus der Ferne, ohne Login | Die Quellen beschreiben einen Funktionsverlust nach dem Relaunch, keine ausnutzbare Lücke ohne Anmeldung. |
| Nein | Volle Übernahme | Golem.de und Caschys Blog berichten nicht von Codeausführung oder Kontoübernahme. |
| Nein | Geheimnisse offengelegt | Die Quellen berichten nicht von gestohlenen Zugangsdaten, Tokens oder Kundendaten. |
| Nein | Lieferkette | Golem.de und Caschys Blog berichten nicht über kompromittierte Pakete, Updates oder Build-Pipelines. |
| Nein | Noch kein Fix | Die Quellen nennen keine offene Lücke ohne Fix; der Verlust der TOTP-Option ist eine Designentscheidung. |
Zeitleiste
Berichte über den Wegfall der Zwei-Faktor-Anmeldung und der TOTP-Option nach dem Relaunch
Caschys Blog
2FA bei Humble Bundle: TOTP-Option fehlt nach dem Redesign
Golem.de - Security
Rückschritt: Humble Bundle schwächt Sicherheit seiner Website
Alle Berichte · 2 Quellen
Zuerst gesehen · 2 Quellen · Zur ganzen Meldung · Wie Tiers entschieden werden