Gestohlene Passwörter sorgen für Spam und Ärger – Tausende inaktive Forenaccounts gelöscht

Da  es in letzter Zeit immer wieder zu Forenposts kam, wo unerlaubt Werbung für diverse Sexseiten und andere unerwünschte Inhalte gemacht wurde, haben wir uns das Problem einmal näher angesehen. Natürlich ist man immer wieder diversen Spam-Wellen ausgesetzt, weshalb wir auch die Anmeldung fürs Forum bereits seit Wochen etwas restriktiver handhaben und bestimmte Mailprovider vorrübergehend blockiert haben. Das allein reicht aber nicht aus, denn wir konnten auch einen Anstieg vermeintlicher “Schläfer” beobachten, also ältere Forenaccounts, die nach langer Zeit der Inaktivität plötzlich wieder aktiviert wurden, um diese Inhalte zu posten.

Man erinnert sich sicherlich an Meldungen, wonach seit  Kurzem erneut ganze Listen mit Kombinationen von Maildressen und Passwörtern z.B. im Darknet auftauchten und zum Verkauf stehen. Es ist mit an Sicherheit grenzender Wahrscheinlichkeit so, dass so Accounts von Dritten “reaktiviert” wurden, deren Zugangsdaten mit Inhalten dieser Listen übereinstimmen. Anders lässt sich diese hohe Anzahl an Missbräuchen eigentlich nicht erklären. Wir haben uns deshalb zu einem drastischen Schritt entschlossen und alle Foren-User, die seit Dezember 2022 inaktiv waren und weniger als drei Posts veröffentlicht haben, ersatzlos zu löschen.

Es handelt sich dabei um insgesamt über 11.000 Accounts, was natürlich nicht wenig ist, aber notwendig war. Denn gleichzeitig mit dem Auftauchen dieser unerwünschten Posts ist das Auftauchen von Bots dramatisch angestiegen, was sich auch an den analysierten Webseitenaufrufen der Xenforo-API (Forensoftware) zeigte. Immerhin waren dies pro Tag laut Cloudflare bis zu 10.000 Aufrufe, von denen dann im Schnitt 2 bis 3 zum Erfolg führten. Wenn man sich diese Masse anschaut, dann wird einem sicher auch schnell klar, welchen Umfang diese Passwortlisten eigentlich haben müssen.

Es war also eine Maßnahme, die sich so nicht umgehen ließ. Sollte trotz aller Vorsicht ein User unbeabsichtigt gelöscht worden sein (was eigentlich unwahrscheinlich ist), dann kann er sich gern per Mail an mich wenden. Der alte Account ist zwar unwiderruflich verloren, aber der Benutzername kann natürlich auch wieder freigegeben werden. Mein Dank geht hier auch an den Sysadmin, der die ganzen Konten mal aufgedröselt und gesäubert hat.