Das Habbo.st wurde am späten Abend gegen 00:10 Uhr Opfer eines XSS-Angriffs eines bis jetzt unbekannten Nutzers. Dem Angreifer ist es gelungen, über die Sprechblasen HTML-Code in den Client des Hotels einzuschleusen und so ein Bild in der Sprechblase anzeigen zu lassen. Der Vorfall wurde schnell bemerkt – das Hotel war nur wenige Minuten danach direkt offline, bis das Problem gegen 00:40 Uhr behoben werden konnte.

Bedenklich erscheint derweil die Tatsache, dass dabei ein nicht gerade jugendfreundlich, sondern pornographisches Bild genutzt wurde. Wer die Sprechblase angeklickt hat wurde zudem auf eine Pornoseite umgeleitet. RetroTimes könnte nähere Zusammenhänge mit der “#FreeAli” Aufschrift bisher nicht ermitteln. Zwar wird das Live-Hotel.biz in dem Bild konkret genannt, womöglich als Werbung, doch ist nicht gewiss, dass die Aktion in direktem Zusammenhang mit dem Live-Hotel steht oder von dort autorisiert wurde.

Wir konnten eine temporäre Lösung finden und werden weiterhin an einer Lösung arbeiten, um weitere Sicherheitslücken zu schließen. Werbung für ein anderes Hotel, ok – aber ein pornographisches Bild? Sowas niveauloses habe ich noch nie gesehen. Im Hotel lauern auch jüngere User, die sowas nicht sehen sollten. Daran sieht man, wie rücksichtslos und primitiv manche Hotels gegen die Konkurrenz vorgehen. Für das, was eben passiert ist, fehlen mir einfach die Worte. Bitte entschuldigt die entstandenenen Unannehmlichkeiten.

Hazed.cs auf dem Discordserver

Habbo.st wurde in Vergangenheit des Öfteren Opfer von größeren Angriffen. Die letzten liegen allerdings schon Monate, wenn nicht Jahre zurück. Die Lücke über die Sprechblasen muss sich im Laufe der letzten Updates erst ergeben haben. Immerhin haben die oder der Angreifer keinen Zugriff zur Datenbank oder schlimmeres gehabt. Auch die Reaktionszeit der Projektleitung ist in der Hinsicht vorbildlich, wenn auch erst mal zu klären ist, wie ein so gravierender und eigentlich doch offensichtlicher Fehler im Coding passieren kann.