Um die Schwachstelle auszunutzen, brauchen Angreifer keinerlei Programmierkenntnisse. Es genügt, ein Konto zu erstellen und dabei eine fremde Email-Adresse zu verwenden. Anschließend kann der Angreifer unter falschem Namen Schadsoftware verteilen. Bei den Diensten Dropbox, IDrive, SugarSync, Syncplicity und Wuala können Angreifer arglose Computernutzer mit Hilfe der fremden Identität sogar ausspionieren, indem sie sie dazu bringen, vertrauliche Daten für einen gemeinsamen Zugriff in die Cloud zu laden.
Fraunhofer SIT hat die betroffenen Anbieter bereits vor mehreren Monaten informiert. Obwohl die Schwachstelle mit sehr einfachen und bekannten Methoden wie etwa der Versendung einer Email mit Aktivierungslink geschlossen werden kann, gibt es immer noch Anbieter, die keinen Handlungsbedarf sehen. Dr. Markus Schneider, stellvertretender Institutsleiter des Fraunhofer SIT: „Nach unserem Hinweis haben inzwischen Dropbox, HiDrive, SugarSync, Syncplicity und Wuala reagiert.“ Einige dieser Anbieter verwenden zur Vermeidung der Schwachstelle nun die seit langem bekannte Bestätigungsemail, andere setzen Mechanismen ein. “Aus unserer Sicht ist es wichtig, die Verbraucher auf das bestehende Problem hinzuweisen“, so Schneider. „Leider kann man sich nicht vollständig gegen alle Angriffe schützen, selbst wenn man die betroffenen Dienste meidet. Deshalb ist es wünschenswert, dass die Anbieter der Cloud-Speicherdienste die Schwachstelle beseitigen, da dadurch Verbraucher besser geschützt wären.“
Verbraucher, die die betroffenen Dienste nutzen, sollten vorsichtig sein. Wer eine Aufforderung bekommt, Daten aus der Cloud herunter oder in die Cloud zu laden, sollte per Email beim vermeintlichen Absender nachfragen, ob die Aufforderung wirklich von ihm stammt.
