Was? 😀

Meine Bestellungen | Mein Konto | Amazon.de

Ich nehme mal an, diese Texte waren in der Vorlage des Spammers (vermutlich eine echte Amazon-Mail) auch verlinkt. Aber er hat dann eben nicht den HTML-Quelltext übernommen, sondern den angezeigten Text. Tja, schon doof, wenn man doof ist. 😉

Hinweis

Echt, diese Mail soll mich auf etwas hinweisen? Da wäre ich ja gar nicht drauf gekommen. Was ist es denn, worauf mich die Spam hinweisen will?

Aktenzeichen # 238-416140-896957

Ah ja, auf eine für mich bedeutungslose Folge von Ziffern werde ich hingewiesen. Und außerdem…

Sehr geehrter Kunde,

…auf die Tatsache, dass ich Kunde bei „Amazon“ bin, obwohl ich davon noch gar nichts weiß. Mein Name ist dort, wo ich Kunde sein soll, allerdings nicht so bekannt. Aber hey, dafür gibts Ziffern. Fünfzehn Stück an der Zahl. Das ist echt eine Menge! Die sind doch fast so gut wie eine persönliche Ansprache. Und vor allem: Fast so persönlich. 😀

es wurde probiert, auf Ihr Kundenkonto zuzugreifen.

😯

Unser Sicherheitscenter hat einen unberechtigten Login auf Ihr Nutzerkonto festgestellt.
Im nachfolgenden Abschnitt finden Sie alle weiteren Details:

Hinweis:
unberechtigter Login

Datum:
Tuesday, den 10. July 2018

Uhrzeit:
11:46 (GMT-3)

Standort:
Rozhdestvenskiy Maydan, Russland

IP-Adresse:
124.96.63.109

Browser:
Firefox 51.0

Betriebssystem:
Windows 10

Was, ich benutze Windows 10? Und eine russische IP-Adresse? Gleich mal gucken, ob die wirklich russisch ist:

$ whois 124.96.63.109 | grep -i ^country
country:        JP
country:        JP
country:        JP
$ _

Die ist in Wirklichkeit japanisch, diese vom Spammer angegebene „russische“ IP-Adresse. Aber die Zielgruppe sind ja auch nicht Leute, die so etwas schnell überprüfen, sondern Leute, die sich schnell erschrecken lassen und glauben, sie wären gerade von irgendwelchen pösen Russen gehackt worden. Diese Leute…

Wenn es sich bei diesem versuchten Login um Sie handelt, müssen Sie nichts weiter tun.

Sollte es sich bei diesem versuchten Login jedoch nicht um Sie gehandelt haben, dann ist es umgehend nötig, Ihre Daten zu überprüfen und Ihr Nutzerkonto wiederherzustellen. Um mit der Verifizierung zu beginnen, klicken Sie bitte auf den nachfolgenden Link:

Vielen Dank für Ihr Verständnis!
Amazon.de

…sollen dann auf einen Link klicken. In einer Spam, die auch bei Menschen wie mir ankommt – ich habe noch nie einen Account bei einem in meinen Augen verachtenswerten Unternehmen wie Amazon gehabt und werde auch niemals einen haben.

Leider hat der Spammer, der es schon weiter oben nicht so mit den Links hatte, auch hier den Link vergessen. Da hilft es wohl nur noch, in den Quelltext der Spam zu schauen, um mal zu gucken, ob es einen Anhaltspunkt dafür gibt, wo die Reise hingegangen wäre:

[...]
<td style=3D"padding: 11px 18px 18px; width: 50%; line-height: 18px; f=
ont-family: Arial , sans-serif; font-size: 14px; vertical-align: top; =
background-color: rgb(239, 239, 239);"> <p style=3D"font: 13px/18px Ar=
ial , sans-serif; margin: 2px 0px 9px; font-size-adjust: none; font-st=
retch: normal;"> <a name=3D"7cd146f12b3e766585599fbbf38fa83f" class=3D=
"f99a133bf01a6b0027df524a62efad89" id=3D"53574fcb89df0e5cdbb43b12848ec=
043" href=3D"https://amazon.de.datenverify51.com/login.php" target=3D"=
_blank"><img name=3D"1336a9588b58e3e165890cc52ded74ef" class=3D"26ac64=
18003031b6432357d44e3bca1a" id=3D"cb623c8d009c0cf705eee0c82d30a5e1" st=
yle=3D"border: 0px currentColor; border-image: none; width: 205px;" al=
t=3D"" src=3D"https://amazon.de.datenverify51.com/button.png"></a></p>=
 </td>=20
[...]

Oh, der Spammer hat ja doch einen Link gesetzt – mithilfe eines extern referenzierten Bildes, das von einer anständigen Mailsoftware natürlich nicht einfach so nachgeladen wird. Sowohl Link als auch Bild liegen in der Domain amazon (punkt) de (punkt) datenverify51 (punkt) com, die natürlich nichts mit Amazon zu tun hat, sondern eine Subdomain von datenverify51 (punkt) com ist. Wer diese tolle Domain registriert hat, kann man im Lande des Datenschutzes natürlich nicht mehr auf einfache Weise herausbekommen:

$ whois datenverify51.com | grep WHOIS
   Registrar WHOIS Server: whois.PublicDomainRegistry.com
$ whois -h whois.PublicDomainRegistry.com datenverify51.com | grep ^Registrant | sed 7q
Registrant Name: GDPR Masked
Registrant Organization: GDPR Masked
Registrant Street: GDPR Masked GDPR Masked GDPR Masked 
Registrant City: GDPR Masked
Registrant State/Province: GDPR Masked
Registrant Postal Code: 00000
Registrant Country: GDPR Masked
$ _

Ist doch schön, dass die Daten von Phishern jetzt so gut geschützt werden!

Immerhin lässt sich noch herausbekommen, dass der Server bei Domainfactory gehostet ist – und dort war die Administration offenbar schon über die Phishing-Spams unterrichtet und hat kurzerhand den Stecker gezogen. Gut so! Das spart mir meine übliche Mail… und ich hoffe mal, dass fürs Hosting Vorkasse genommen wurde. 😉

Dies ist eine automatisch versendete Nachricht. Bitte antworten Sie nicht auf dieses Schreiben, da die Adresse nur zur Versendung von E-Mails eingerichtet ist.

Nein, das ist eine Phishing-Spam mit gefälschtem Absender.

Der beste Schutz vor Phishing (und vor anderen Formen der Kriminalität, die mit E-Mail vorangetrieben werden) besteht darin, dass man sich angewöhnt, niemals in eine E-Mail zu klicken und Websites immer über ein Lesezeichen in seinem Browser aufzurufen. So kann man niemals auf irgendwelche von Verbrechern schnell aufgeschäumte Seiten gelangen, die „wie Amazon aussehen“ und bei denen man seine Login-Daten eingeben soll, nachdem einem ein kräftiger Schrecken eingejagt wurde. Wenn man dann nach dem Login auf der echten Amazon-Website kein Problem angezeigt bekommt, hat man einen kriminellen Angriff abgewehrt und sich möglicherweise einen Haufen Ärger erspart.