Russische E-Mails wegen OTP weil sich versucht wird auf Account einzuloggen.

The_Saint

mareikeb16_ESO schrieb: »

The_Saint schrieb: »

mareikeb16_ESO schrieb: »

Ihr verweist hier immer auf eine Nachricht von Kai. Wo finde ich die denn? Bin ich blind? Hab hier und im englischen Forum geguckt.

Das von mir in #4 zitierte hatte Kai gestern abend noch auf eine Meldung in einer Facebook Gruppe gepostet.

Ach so, ja gut, Facebook nutze ich nicht.
Wäre eigentlich schön, wenn hier im deutschen Forum auch mal eine offizielle Meldung kommen würde. Das scheint ja doch viele zu betreffen.

Ich gehe davon aus, dass Kai das getan hätte wenn gestern hier jemand mit dem Problem sich hier gemeldet hätte.


Im englischen hat Gina reagiert.
Und vermutlich gibts heute noch was wenn NA wieder "jemand da ist" und auch mehr Infos zur verfügung stehen (wenn die dann auch zum Teilen freigegeben sind)

Viele, wenige, einige.. könnte man drüber diskutieren. Es gibt Betroffene und ja hier wäre eine weitere Info gut. Aber es gibt zitierte Aussage von ihm und an die sollte man sich erstmal halten wenn man betroffen ist.

Wolfshade

Die Passwort-Reset Funktion ist ja nicht gerade unbekannt. Frag mal Disney, Sony, Apple oder Instagram. Die Passwortstärke ist dabei vollkommen irrevant und die E-Mail nur ein Mittel zum Zweck.

https://www.infopoint-security.de/sicherheitsluecken-im-password-reset-process/a12054/

Auch interessant:

https://www.golem.de/news/sicherheit-wie-sich-passwort-zuruecksetzen-missbrauchen-laesst-1902-139573.html

ZOS_KaiSchober

Hallo,

nochmal zur Erklärung: Im Moment bekommt eine Anzahl Spieler offizielle E-Mails in russischer Sprache mit einem Einmal-Passwort, das beim Einloggen von einer unbekannten IP-Adresse benötigt wird.
Diese E-Mails werden getriggert, wenn jemand euren Accountnamen nutzt; es muss nicht zwingend das richtige Passwort bekannt sein.
Die E-Mails sind auf Russisch, weil beim Einloggversuch ein russisch-sprachiger Client benutzt wurde.
Unsere Datenbanken wurde nicht kompromitiert und seit dem LastPass-Hack letzten Monat ist mir auch kein anderer großer Einbruch in Datenbanken bekannt, die Passwörter von uns beinhalten könnten. Den für den Einlogversuch benötigten Accountnamen, der dann die E-Mail an eure richtige Adresse triggert, kann man leider einfach im Spiel abschreiben.

tl;dr: Im Moment sehen wir keine Bedrohung für eure Accounts, behalten die Situation natürlich im Auge und untersuchen, wie man den Spam und die "falsche" Sprache in Zukunft verhindern kann.

Wie immer macht es Sinn, seine Passwörter von Zeit zu Zeit zu erneuern und für jede Seite, jedes Konto ein eigenes Passwort zu nutzen.

mareikeb16_ESO

Na das war ja jetzt eine schnelle Reaktion. Danke!

RainerP

Danke sehr für diese ausführliche Info.

gruß
Rainer

Galandriel

Wie ich auch schon in Facebook geschrieben hhabe.

Es bleibt ja nicht dabei, das diese OTP Mails kommen (heute früh übrigens wieder 6 Stück), nein, irgendwann kommt dann die Mail, das wegen zuvieler fehlerhaften Einlogversuche der Account temporär gesperrt wird. Hab seit letzten Freitag schon das 3te neue Passwort.

Bodeus

mareikeb16_ESO schrieb: »

The_Saint schrieb: »

mareikeb16_ESO schrieb: »

Ihr verweist hier immer auf eine Nachricht von Kai. Wo finde ich die denn? Bin ich blind? Hab hier und im englischen Forum geguckt.

Das von mir in #4 zitierte hatte Kai gestern abend noch auf eine Meldung in einer Facebook Gruppe gepostet.

Ach so, ja gut, Facebook nutze ich nicht.
Wäre eigentlich schön, wenn hier im deutschen Forum auch mal eine offizielle Meldung kommen würde. Das scheint ja doch viele zu betreffen.

Deswegen hat Sam es ja hier weitergegeben

WAMB0

Wolfshade schrieb: »

Die Passwort-Reset Funktion ist ja nicht gerade unbekannt. Frag mal Disney, Sony, Apple oder Instagram. Die Passwortstärke ist dabei vollkommen irrevant und die E-Mail nur ein Mittel zum Zweck.

https://www.infopoint-security.de/sicherheitsluecken-im-password-reset-process/a12054/

Auch interessant:

https://www.golem.de/news/sicherheit-wie-sich-passwort-zuruecksetzen-missbrauchen-laesst-1902-139573.html

Interessant, aber hier leider am Thema vorbei, es handelt sich eben nicht um "Passwort vergessen" Emails, für diese braucht man eben die Emailadresse. Und wenn die jemand hätte, dann wäre das tatsächlich ein Grund zur Beunruhigung.

Galandriel schrieb: »

Wie ich auch schon in Facebook geschrieben hhabe.

Es bleibt ja nicht dabei, das diese OTP Mails kommen (heute früh übrigens wieder 6 Stück), nein, irgendwann kommt dann die Mail, das wegen zuvieler fehlerhaften Einlogversuche der Account temporär gesperrt wird. Hab seit letzten Freitag schon das 3te neue Passwort.

Wir haben doch gelernt, dass das Passwort gar nicht abgeglichen wird - sprich es wird auch nicht als fehlerhafter Login erkannt.
Dein Passwort alle 10 Emails ändern bringt übrigens auch überhaupt nichts, allein die Wahrscheinlichkeit, dass dein Passwort innerhalb von 30-50-80 Mal erraten wird, ist vernachlässigbar und es gäbe für den "Tester" ja auch überhaupt keine Rückmeldung, ob er denn "richtig geraten" hat.

Galandriel

WAMB0 schrieb: »

Wolfshade schrieb: »

Die Passwort-Reset Funktion ist ja nicht gerade unbekannt. Frag mal Disney, Sony, Apple oder Instagram. Die Passwortstärke ist dabei vollkommen irrevant und die E-Mail nur ein Mittel zum Zweck.

https://www.infopoint-security.de/sicherheitsluecken-im-password-reset-process/a12054/

Auch interessant:

https://www.golem.de/news/sicherheit-wie-sich-passwort-zuruecksetzen-missbrauchen-laesst-1902-139573.html

Interessant, aber hier leider am Thema vorbei, es handelt sich eben nicht um "Passwort vergessen" Emails, für diese braucht man eben die Emailadresse. Und wenn die jemand hätte, dann wäre das tatsächlich ein Grund zur Beunruhigung.

Galandriel schrieb: »

Wie ich auch schon in Facebook geschrieben hhabe.

Es bleibt ja nicht dabei, das diese OTP Mails kommen (heute früh übrigens wieder 6 Stück), nein, irgendwann kommt dann die Mail, das wegen zuvieler fehlerhaften Einlogversuche der Account temporär gesperrt wird. Hab seit letzten Freitag schon das 3te neue Passwort.

Wir haben doch gelernt, dass das Passwort gar nicht abgeglichen wird - sprich es wird auch nicht als fehlerhafter Login erkannt.
Dein Passwort alle 10 Emails ändern bringt übrigens auch überhaupt nichts, allein die Wahrscheinlichkeit, dass dein Passwort innerhalb von 30-50-80 Mal erraten wird, ist vernachlässigbar und es gäbe für den "Tester" ja auch überhaupt keine Rückmeldung, ob er denn "richtig geraten" hat.

Wenn du so eine Mail bekommst wie im Bild, und du dich nicht mehr einloggen kannst im Spiel, dann MUSST du dein Passwort ändern

Tobyja

Ah, danke Galandriel! Automatische Sperre nach x Fehllogins ist ein Argument, das PW doch mehrfach zu ändern.

WAMB0 schrieb: »

[...]
Wir haben doch gelernt, dass das Passwort gar nicht abgeglichen wird - sprich es wird auch nicht als fehlerhafter Login erkannt.
[...]

Da hattest du was falsch verstanden, glaub ich. Das wird schon abgeglichen, zusammen mit anderen Faktoren. Eine Plausibilitätsprüfung eben.
In den englischen FAQ gibts dazu schon einen neuen (oder upgedateten) Artikel (eine deutsche Übersetzung dazu hab ich bis eben noch nicht entdeckt; ist aber im Grunde das, was KaiSchober schon schrieb)...
https://help.elderscrollsonline.com/app/answers/detail/a_id/8611


Und ob am Thema vorbei oder nicht: auch danke Wolfshade. Interessante Links, in der Tat.


EDIT: schlußendlich auch noch ein offizielles Posting in der englischen Abteilung, bevor der Faden dort gekappt wurde. Mehrere FAQ-Links sind dort enthalten.
https://forums.elderscrollsonline.com/en-gb/discussion/comment/7791711/#Comment_7791711

Wolfshade

WAMB0 schrieb: »

Interessant, aber hier leider am Thema vorbei, es handelt sich eben nicht um "Passwort vergessen" Emails, für diese braucht man eben die Emailadresse. Und wenn die jemand hätte, dann wäre das tatsächlich ein Grund zur Beunruhigung..

Schau vielleicht mal im engl. Thread, auf welche Funktion dort in den E-Mails direkt verlinkt wird. Wenn dies aktuell auch nur ein paar Spieler betrifft ist es vielleicht auch möglich, was ich natürlich nicht beurteilen kann, dass dort die E-Mailkonten bereits kompromitiert wurden, weshalb ich bereits ganz am Anfang darauf verwiesen hatte, evt. die Passwörter der E-Mail Konten zu ändern.

Bitsqueezer

Ich habe so eine Mail nicht erhalten, aber ein grundsätzlicher Tip: In so ziemlich allen Mailclients besteht die Möglichkeit, beim Öffnen einer Mail diese nicht als HTML-formatierte Mail anzuzeigen, sondern als blanken Text.

Wenigstens die meisten Fake-EMails werden auf diese Weise bereits entlarvt, da neben dem angezeigten Text eines Links auch die eigentlich aufgerufene Website angezeigt wird.

Darüber hinaus wäre mein erster Schritt bei so einer Mail, in den Sourcecode der Mail zu schauen, der einiges mehr über den Verursacher anzeigt. Beispielsweise ist es simpel, eine "echte" Absenderadresse als Absender vorzugaukeln, obwohl die Mail von einer ganz anderen Quelle stammt - das sieht man nur im Sourcecode.

Den kann man meistens anzeigen, indem man die Eigenschaften einer Mail aufruft, dort ist dann manchmal nur der Mailheader zu sehen, es gibt dann aber auch einen Button zur Anzeige des gesamten Sourcecodes. Das geht auf jeden Fall z.B. in Windows Mail und Outlook, sollte aber auch in allen anderen Mailclients abrufbar sein.

Der Code sieht natürlich ggf. kryptisch aus, aber man findet darin relativ einfach Absendermailadressen oder IP-Adressen usw., ebenso, über welchen Weg die Mails angekommen sind uvm. Auch hier wird natürlich von den Angreifern versucht, so viel wie möglich zu verschleiern.

Definitiv wichtigster Tip, der auch schon im englischen Thread gleich in dem 2. Beitrag geschrieben wurde: NIE einen Link in einer Mail anklicken, wenn man nicht 1000% sicher ist, wer der Absender der Mail ist, und dabei NIE auf die angezeigte Absenderadresse vertrauen, bei schlechtem Eindruck IMMER erst in den Sourcecode schauen.

Die Anzeige beim Öffnen als Text ist natürlich "lästig", weil die Mails dann i.d.R. nicht "schön" aussehen und man manchmal auch nur einen Hinweisetext sieht, daß die Mail in HTML geschrieben wurde und zum Anzeigen man auf HTML umstellen müsse. Dann sollte man erst recht vorsichtig sein. Hat man aber alles geprüft, kann man die Anzeige immer noch auf HTML umstellen.

Im Quellcode stehen dann ab Beginn der eigentlichen Mail auch bisweilen nur ein riesiger Block an kryptischen Zahlen und Buchstaben, das ist aber nur eine primitive Base64-Verschlüsselung, die man mit einem entsprechenden Texteditor (wie Notepad++) einfach wieder in lesbaren Text verwandeln kann. Wenn eine Mail auf diese Weise komplett verschlüsselt wurde, sollte man auch schon mißtrauisch werden und den Inhalt genauer prüfen (durch Kopieren des kompletten Sourcecodes in z.B. Notepad++, dort den Block markieren und entschlüsseln lassen).

Mit diesen Methoden ist es nahezu unmöglich, auf eine Phishing-Mail reinzufallen oder sich einen Virus einzufangen. Dateianhänge macht ja hoffentlich auch niemand ohne genaue Prüfung der Datei und der Mail auf... oder?...

Alketes

Hab auch die letzten 2 Tage jeweils 2 solcher Emails in russisch erhalten.
Und sofort wieder gelöscht.

Aufgrund meiner Spielgewohnheiten war der Verursacher wohl auf dem PC EU-Server auf der PVP Kampagne Rabenwacht unterwegs.

Da mein Emailaccount nicht gehackt wurde, sehe ich keinen weiteren Handlungsbedarf.
Und ohne die richtige Antwort auf die Sicherheitsabfrage für die Passwortänderung kann das Passwort nicht geändert werden.

Bodeus

Mein Tip wäre noch, nie für E Mail und andere Anbieter das gleiche Passwort zu verwenden. Selbst wenn eins gestohlen wurde, kann der Angreifer damit weniger anfangen.

Protector1981

...

WAMB0

Tobyja schrieb: »

Ah, danke Galandriel! Automatische Sperre nach x Fehllogins ist ein Argument, das PW doch mehrfach zu ändern.

Nur warum 5mal selbst tätig werden, wenn es sonst nur einmal notwendig wäre - falls es überhaupt eintritt?

Tobyja schrieb: »

WAMB0 schrieb: »

[...]
Wir haben doch gelernt, dass das Passwort gar nicht abgeglichen wird - sprich es wird auch nicht als fehlerhafter Login erkannt.
[...]

Da hattest du was falsch verstanden, glaub ich. Das wird schon abgeglichen, zusammen mit anderen Faktoren. Eine Plausibilitätsprüfung eben.
In den englischen FAQ gibts dazu schon einen neuen (oder upgedateten) Artikel (eine deutsche Übersetzung dazu hab ich bis eben noch nicht entdeckt; ist aber im Grunde das, was KaiSchober schon schrieb)...
https://help.elderscrollsonline.com/app/answers/detail/a_id/8611

Dort steht nichts von Passwörtern - "key factors". Ich habe es ganz einfach selbst getestet, in dem ich mich auf dem PTS (war lange nicht mehr dort) mit falschen Zugangsdaten eingeloggt habe: Die Email wurde getriggert (auf Englisch - Sprache meines Clients), und ich habe keine Meldung über ein falsches Kennwort bekommen, nur über den Access Code / OTP.

Sicher ist: die OTP werden VOR (oder trotz) Abgleich des Passworts getriggert, also dieser Abgleich der "Schlüsselbedingungen" geschieht vorher (oder es wird nicht unterschieden)... ich halte das für wenig sinnvoll, würde man das in einer Funktion vergleichen und sagen: Passwort falsch + unbekannter Faktor = unzulässig/Angreifer, hätten wir dieses Thema hier nicht.

Ob das Passwort danach noch abgeglichen wird steht nirgends (!), aber wenn man es in dem Fall gar nicht abgleicht, kann man dem "Angreifer" auch keine Informationen dazu liefern - ich tippe das ist der Gedanke hinter dem aktuellen System.


Ich tippe auch, dass das Passwort zurückgesetzt wird bei passenden Faktoren und zu vielen falschen Eingaben - habe das aber noch nie selbst geschafft und werde das auch nicht testen.


Dass die offizielle Stellungnahme ist, bei unerwarteten OTP das Passwort zu ändern liegt vermutlich einfach daran, dass zu viele Leute immer noch schwache Passwörter verwenden oder es irgendwie schaffen ihre Passwörter zu leaken (Copy&Paste an die falsche Stelle, "NotizenApp" im Stream gezeigt, usw.). Denn ein starkes Passwort andauernd zu ändern schafft einfach keine zusätzliche Sicherheit.

WAMB0

Wolfshade schrieb: »

WAMB0 schrieb: »

Interessant, aber hier leider am Thema vorbei, es handelt sich eben nicht um "Passwort vergessen" Emails, für diese braucht man eben die Emailadresse. Und wenn die jemand hätte, dann wäre das tatsächlich ein Grund zur Beunruhigung..

Schau vielleicht mal im engl. Thread, auf welche Funktion dort in den E-Mails direkt verlinkt wird. Wenn dies aktuell auch nur ein paar Spieler betrifft ist es vielleicht auch möglich, was ich natürlich nicht beurteilen kann, dass dort die E-Mailkonten bereits kompromitiert wurden, weshalb ich bereits ganz am Anfang darauf verwiesen hatte, evt. die Passwörter der E-Mail Konten zu ändern.

Schau du mal im englischen Thread, ich war dort bereits aktiv.
Dort haben Leute wieder nicht gelesen was vorher geschrieben wurde, und auf Seite 3 (oder so) angefangen die Authentizität der Mails anzuzweifeln, weil andere Emails (Passwort vergessen) anders formatiert bzw. von leicht anderen Absendern kamen.

Die interessanteste Info aus dem engl. Thread kommt von Reddit und besagt, dass der Angriff auch jemanden betrifft, der sich noch NIE eingeloggt hat, sprich dessen Account Name entweder zufällig getroffen wurde oder tatsächlich aus ZOS Daten kommt.

Wolfshade

Den Beitrag mit den noch nie hab ich jetzt noch nicht gefunden, aber auf Reddit gibt es ja auch Beiträge von Leuten die nach Aussage schon mehrere Jahre nicht mehr aktiv/eingeloggt ware. In beiden Fällen wird wohl
a) niemand einen russischen Client verwendet haben der die E-Mail getriggert hat
b) wenn du schon selber von Zufällen oder von ZOS Daten schreibst und auf den Passwort Reset verlinkt wird, kann es ja nicht so falsch oder am Thema vorbei sein wenn ich hier darauf Hinweise.

The_Saint

Es gibt addons die Accountnamen nutzen (zb. Verkaufshistorien), Internetseiten mit Statistiken wo @ angezeigt werden (Leaderboards, Errungenschaften, auch Tradeseiten für Handel), ESO Logs...

Quellen um an Accountnamen zu kommen gibts ja viele...

Tobyja

WAMB0 schrieb: »

Dort steht nichts von Passwörtern - "key factors". Ich habe es ganz einfach selbst getestet, in dem ich mich auf dem PTS (war lange nicht mehr dort) mit falschen Zugangsdaten eingeloggt habe: Die Email wurde getriggert (auf Englisch - Sprache meines Clients), und ich habe keine Meldung über ein falsches Kennwort bekommen, nur über den Access Code / OTP.

Sicher ist: die OTP werden VOR (oder trotz) Abgleich des Passworts getriggert, also dieser Abgleich der "Schlüsselbedingungen" geschieht vorher (oder es wird nicht unterschieden)... ich halte das für wenig sinnvoll, würde man das in einer Funktion vergleichen und sagen: Passwort falsch + unbekannter Faktor = unzulässig/Angreifer, hätten wir dieses Thema hier nicht.

Mit dem PTS hab ich keine Erfahrung und ich weiß auch nicht genau, ob ein Hinweis auf ein falsches PW überhaupt in einer Mail erwähnt würde. Aber wenn ich mich in meinen Account über den üblichen Rechner mit einem falschen einlogge, erhalte ich keine Mail. Was mich vermuten läßt, daß bei dir ("lange nicht dort gewesen") zwischenzeitlich eine Hardwareänderung oÄ stattfand... (?)

Und aus dem Umstand, daß allein ein falsches PW noch keine E-mail triggert, würde ich erstmal nur schlußfolgern, daß mehr als ein Faktor falsch sein muß. Und daß Daten, die zuerst verfügbar sind, auch zuerst verifiziert werden, wundert mich nicht. Wenn dabei schon 2 oder mehr Unbekannte sind, wird die Mail eben getriggert.
Ob der zuletzt eingehende, verfügbare Faktor, das PW, dann noch in den Abgleich einfließt, steht nirgends geschrieben, insofern geb ich dir recht.
Aber ganz ehrlich: das finde ich gut so, weil sinnvoll. Denn wenn ein Einlogversuch von einem anderen, als dem üblichen Rechner und noch dazu von einem anderen Standort aus stattfindet, sollte das PW erstmal keine Rolle mehr spielen dürfen. Deine Gleichung im Umkehrschluß würde ja auch bedeuten, daß alle Faktoren falsch sein könnten - wenn aber das PW richtig wäre, würde nichts passieren. Und dann hätten wir auch das Thema hier gar nicht; was ich beunruhigender fände, wenn ich davon wüßte.

WAMB0 schrieb: »

Die interessanteste Info aus dem engl. Thread kommt von Reddit und besagt, dass der Angriff auch jemanden betrifft, der sich noch NIE eingeloggt hat, sprich dessen Account Name entweder zufällig getroffen wurde oder tatsächlich aus ZOS Daten kommt.

Den Post (Link im vorletzten des Threads dort) hatte ich auch gelesen. Mein Gefühl dabei war: fake. Kann ich schlecht erklären, ist so'n Mischmasch aus Intuition, querdenken und erfahrene Vermutung (educational guess). Irgendwie leuteten bei mir alle Alarmglocken.
Davon abgesehen argwöhne ich noch andere Wege, um an Accountnamen zu gelangen. [und Edith sagt dazu: vom Heiligen geninjat ]

Subjunkie

Ich kann mich gerade nicht einloggen, weil mein PC angeblich noch nicht autorisiert ist (was vollkommener Blödsinn ist, ich war vor 1 1/2h damit noch im Spiel) und soll jetzt den Autorisierungscode eingeben, der per Email kommen sollte ( und nicht kam, ist auch nicht im Spam oder Papierkorb). In mein Konto hier kann ich mich aber noch einloggen und dort wurde nichts geändert!
Edit: Jetzt konnte ich mich wieder ohne einloggen!

The_Saint

Subjunkie schrieb: »

Ich kann mich gerade nicht einloggen, weil mein PC angeblich noch nicht autorisiert ist (was vollkommener Blödsinn ist, ich war vor 1 1/2h damit noch im Spiel) und soll jetzt den Autorisierungscode eingeben, der per Email kommen sollte ( und nicht kam, ist auch nicht im Spam oder Papierkorb). In mein Konto hier kann ich mich aber noch einloggen und dort wurde nichts geändert!
Edit: Jetzt konnte ich mich wieder ohne einloggen!

Forumsaccount ist nicht Spielaccount. Die sind getrennt

Subjunkie

The_Saint schrieb: »

Subjunkie schrieb: »

Ich kann mich gerade nicht einloggen, weil mein PC angeblich noch nicht autorisiert ist (was vollkommener Blödsinn ist, ich war vor 1 1/2h damit noch im Spiel) und soll jetzt den Autorisierungscode eingeben, der per Email kommen sollte ( und nicht kam, ist auch nicht im Spam oder Papierkorb). In mein Konto hier kann ich mich aber noch einloggen und dort wurde nichts geändert!
Edit: Jetzt konnte ich mich wieder ohne einloggen!

Forumsaccount ist nicht Spielaccount. Die sind getrennt

Das weiß ich!

WAMB0

Interessant:
- ich hatte mich mit einem Bug report gemeldet, wie das angefragt wurde
- ein paar Tage später hat sich wohl meine IP geändert (sonst wäre mir nichts bekannt), und ich wurde an meinem Desktop Rechner für den PC/EU Server nach dem Einmalcode gefragt...
- Der Code kam aber nicht per Email an (bis jetzt nicht) - wurde die Funktion etwa deaktiviert?
- Ich hatte keine Zeit mich darum zu kümmern, und jetzt hatte der Client ein kleines Update, und ich komme OHNE Einmalcode rein?

Galandriel

Lustig ist, das man jetzt keine E-Mails mehr bekommt wenn jemand sich versucht auf dem Account von wo anders einzuloggen. Nein, im Gegenteil, das Spiel verlangt einen Code zur Authentifizierung der an die E-Mail Adresse geschickt wird. Diese kommt aber nie an. Wenn man sich auf der Webseite dann ins Konto einloggen will, heist es " Fehler: Es gab zu viele Einloggversuche. Du musst über den „Passwort vergessen?“-Link ein neues Passwort erstellen. "

Solangsam vergeht mir der Spaß am Spielen, vorallem da das jetzt alle 2 Tage passiert. Als ich letztens dem Support schon geschrieben hab, wie Gina es sagte, kam auch nur Standartantwort zurück.

Die Einmalpasswortfunktion dient dazu, die Kontosicherheit für unsere Spieler zu gewährleisten. Wie konzipiert, erkennt es dabei einige Schlüsselfaktoren, sobald ein Spieler versucht, sich beim Spiel anzumelden, darunter unter anderem die Geräte-ID, IP-Adresse und Version des Spielclients. Danach vergleicht es diese Informationen mit den zuvor erkannten Konto-Faktorinformationen. Falls eines davon aus irgendeinem Grund abweicht, wird ein einmaliges Passwort an die registrierte E-Mail-Adresse des Benutzers gesendet, um die Kontoverifizierung zu bestätigen. Sollten Sie die einmalige Passwortanfrage erhalten, Sie diese aber nicht angefordert haben, dann vergewissern Sie sich bitte, dass Ihr ESO-Konto sicher ist.

Ja, was aber wenn die Mail mit dem Code nichtmal mehr ankommt???

Änder ich aber mein Passwort (was ich ja muss, da temporär gesperrt), dann komm ich mit dem neuen Passwort ohne Authentifizierung rein ins Spiel o_O