Das ist mal ein bisschen anders…

Von: „PayPal Service Team“ <service.team@paypal.de>

Sollte diese Nachricht nicht richtig angezeigt werden, klicken Sie bitte hier

Natürlich ist der Absender gefälscht, und zwar zur Abwechslung einmal so, dass naive Menschen wirklich daran glauben können, die Mail käme von PayPal. Und natürlich ist da nicht mehr in der Spam, was dargestellt werden könnte. Der Link führt auch nicht zu PayPal, sondern er ist über den beliebten URL-Kürzer Bitly maskiert, um Spamfiltern die Arbeit zu erschweren.

PayPal würde niemals einen Link auf die eigene Website in einer E-Mail über Bitly kürzen. Zum einen gibt es dafür keinen technischen Grund, die Textlänge in einer E-Mail ist ja nicht beschränkt, und sollten kürzere Links (etwa für die umbruchlose Darstellung in einer Reintextmail – die vorliegende Spam ist HTML-formatiert, so dass sich das Problem gar nicht stellt) doch einmal gewünscht sein, so könnte PayPal nahezu mühelos einen eigenen Weiterleitungsdienst für eigene Zwecke implementieren. Und zum zweiten würde PayPal damit die Zugriffe seiner Kunden auf die PayPal-Website für einen Dritten, nämlich Bitly, trackbar machen. So etwas ist eine ganz schlechte Idee, wenn es um Geld geht. So etwas macht mit Sicherheit niemand, der einen Zahlungsdienst anbietet.

Der so maskierte Link führt nach der Weiterleitung durch Bitly…

$ lynx --mime-header http://bit.ly/2ftsROw | grep ^Location
Location: http://paypal.de-account-aktualisierung.gdn/
$ _

…schließlich in eine Website in eine Subdomain von de (strich) account (strich) aktualisierung (punkt) gdn, die natürlich nicht die Domain von PayPal ist. Die Subdomain paypal kann darüber nur bei Menschen hinwegtäuschen, die überhaupt keine technischen Kenntnisse mehr haben… oh… das sind wohl beinahe alle Menschen aus der „Generation Smartphone“. Jeder, der eine Domain verwaltet, kann dort beliebige Subdomains einrichten.

Ich hätte ja gern meinen obligatorischen Screenshot der mutmaßlichen Phishing-Site¹ gemacht, aber…

$ host paypal.de-account-aktualisierung.gdn
paypal.de-account-aktualisierung.gdn has address 136.243.175.176
$ ping -c 16 -W 5 136.243.175.176
PING 136.243.175.176 (136.243.175.176) 56(84) bytes of data.

--- 136.243.175.176 ping statistics ---
16 packets transmitted, 0 received, 100% packet loss, time 14996ms

$ _

…der von den Spammern gemietete Server scheint schon abgeklemmt worden zu sein. Dafür einen warmen Dank an die Hetzner Online GmbH. So schnell müsste das immer gehen! 😉

Grundsätzlich gelten jedoch drei Dinge, denn so viel Glück wird man nicht immer haben:

1. PayPal versendet solche E-Mails nicht. Die E-Mail von PayPal ist ohne weiteres Geklicke lesbar. PayPal ist dazu imstande, eine E-Mail zu verfassen, in der man den Text auch lesen kann. Jeder aufgeweckte Achtjährige ist nämlich dazu imstande. Warum sollte PayPal im Kontakt zu seinen Kunden hinter dieses Niveau zurückfallen?
2. PayPal wird niemals einen Link auf die eigene Website über einen externen Kürzer wie Bitly maskieren und damit ohne technischen Grund einem Dritten eine Datensammlung über den Zugriff auf die Website eines Finanzdienstleisters ermöglichen. So etwas machen wirklich nur Spammer, die verhindern wollen, dass die von ihnen benutzten Domains binnen weniger Viertelstunden auf den einschlägigen Blacklists stehen, so dass ihre Spams nicht mehr ankommen.
3. Wenn man sich angewöhnt, niemals in eine E-Mail zu klicken, sondern einfach die jeweilige Website direkt aufzurufen – die Webbrowser haben zu diesem Zweck seit 1994 eine ausgesprochen praktische Lesezeichenfunktion – dann kann man nicht auf Phishing über eine E-Mail hereinfallen und fängt sich übrigens auch nicht so leicht Schadsoftware ein, weil man keine Websites von spammenden Verbrechern besucht. Wenn es ein Problem bei PayPal, Amazon, eBay, Facebook, etc. gibt, dann wird man auf den jeweiligen Websites nach der Anmeldung deutlich darauf hingewiesen. Es besteht kein Grund, in die E-Mail zu klicken, aber es ist gefährlich.

Diese Spam ist ein Zustecksel meines Lesers M.S. – Danke!

¹Es ist nicht sicher, dass es sich hier um Phishing handelt – im Moment ist wieder sehr viel Schadsoftware unterwegs, die ebenfalls in kurz gefassten E-Mails, dort allerdings meist als Anhang, transportiert wird.