eBay-Nutzer auf Phishing-Seiten umgeleitet

Wie heise.de gestern Freitag meldete, sind bei eBay eine Reihe von Versteigerungen aufgefallen, die die Besucher der Auktionen auf eine Phishing-Seite umleiteten. Unbekannt ist das dabei eingesetzte Vorgehen bei eBay nicht.

Der Betrüger hat anscheinend eine Cross-Site-Scripting-Lücke (XSS) in der britischen eBay-Webseite ausgenutzt, um JavaScript-Code in die Auktionsseite einzuschleusen.

Der Code sorgte dafür, dass der Nutzer beim Seitenaufruf automatisch auf eine Phishing-Seite, die im eBay-Design gestaltet war, umgeleitet wurde. XSS-Lücken bei eBay sind nicht selten, jedoch sind bislang keine Fälle bekannt, in denen eine solche Schwachstelle tatsächlich für verbrecherische Aktivitäten ausgenutzt wurde.

eBay-Powerseller Paul Kerr hatte die erste der insgesamt drei bekannten Phishing-Auktionen entdeckt. Er verständigt daraufhin das Unternehmen eBay. Inzwischen wurden die Auktionen von eBay gelöscht.