Die Nummern, das Datum und die Uhrzeit wechseln, der (gefälschte) Absender ist immer hotel (punkt) de (at) hotel (punkt) com. Natürlich handelt es sich nicht um eine Reservierung, sondern um einen Versuch, den Computer mit Schadsoftware zu übernehmen. Die Betreiber der Website hotel.de haben damit nichts zu tun, ihre Reputation und ihre Firmierung werden gerade von Kriminellen missbraucht. Ich lege den Betreibern nahe, einen deutlichen Hinweis auf die laufende Spamwelle auf der Startseite ihrer Website zu platzieren, um diesen Sachverhalt klarzustellen und um Schäden von ihren Nutzern abzuwenden. Wenn sich in der Untätigkeit der Betreiber der Website zeigt, dass es ihnen gleichgültig ist, ob ihre Nutzer zu Schaden kommen oder nicht, würde das von mir, so ich dort Nutzer wäre, als Aufforderung verstanden werden, dort besser nicht länger Nutzer zu bleiben.

Besondere Beachtung verdient das Datumsformat im Betreff. Der Spammer war scheinbar zu faul, es gut zu machen und mit strftime() ein ansprechendes Datumsformat zu erzeugen, stattdessen hat er einfach die von asctime() erzeugte Zeichenkette in seine Müllmail übernommen. Das sieht im Ergebnis natürlich ein bisschen peinlich aus, vor allem, weil da noch die Zeitzone als Versatz zur UTC mit angegeben ist, so dass der Leser noch eine Stunde aufaddieren müsste, um die angegebene Zeit korrekt zu lesen. Aber wenn ein Spammer sich Mühe geben würde, könnte er ja auch gleich arbeiten gehen…

Reservierung

Reservierung von was? Von einem Tisch im Restaurant? Von einem Plüschtier beim Spielwarenhändler? Von einem Sitzplatz im ICE?

Buchungsnummer: ND7086871
Buchungsdatum: Tue, 21 May 2013 12:55:04 +0100

Mehr Details in der beigefugten Datei

So so, „beigefugt“. Dazu später noch eine Kleinigkeit.

Anreise: 20.06.2013
Anzahl Nächte: 1
Abreise: 21.06.2013
Gesamtanzahl Personen: 1
Preis: 94,72 EUR

Der Gesamtpreis beinhaltet 1,54 EUR Steuern und Abgaben.

Tja, und wo soll das nun sein? Das ist ja keine ganz unwichtige Information…

Aber es muss in einem tollen Land sein, in dem nur etwas mehr als 1,5 Prozent „Steuern und Abgaben“ fällig werden. 😉

Hinweis: Diese Buchung ist per Bankkarte gesichert.

Bei welcher Bank? Welche Nummer steht auf der Karte? Ach!

Wie üblich bei derartigen Mails der organisierten Internet-Kriminalität steht im Text der Mail keine wirkliche Information, sondern nur ein kleiner Schocktext, dass gerade fast hundert Euro ausgegeben wurden, ohne dass man überhaupt weiß, wofür. Oder an wen, denn es fehlen ja auch sämtliche Hinweise zum Empfänger des Geldes.

Mit diesem psychologischen Hebel sollen Menschen in eine gewisse Panik versetzt werden, damit sie den Anhang öffnen.

Ebenfalls üblich ist es, dass der Anhang ein ZIP-Archiv ist. Darin liegt eine Datei mit der Dateinamenserweiterung .pdf.exe, also kein Dokument, sondern eine ausführbare Datei für Microsoft Windows. Wer versucht, dieses vorgebliche Dokument zu öffnen, startet Software von Kriminellen auf seinem Computer und hat hinterher einen Computer und eine Internetleitung anderer Leute auf seinem Tisch stehen, und diese anderen Leute werden gewiss Anwendungen dafür finden, die sich niemand wünschen kann.

Wer sich auf Virenscanner verlässt, ist ebenfalls wie üblich verlassen. Die Schadsoftware wird zurzeit von zwei Drittel der Programm nicht als solche erkannt.

Zum Glück ist es zum Ausgleich dafür für einen Menschen recht einfach, die Mail als Spam zu erkennen und sie ohne langes Nachdenken zu löschen. Hier noch einmal die inhaltlichen Schwächen dieser Spam in weniger humorvoller Form:

1. Unpassende Absenderadresse
2. Obskurer Betreff ohne Information
3. Obskure, für Menschen in dieser Form sinnlose Zeitangabe
4. Kein Hinweis, wer hier überhaupt schreibt
5. Keine persönliche Ansprache
6. Keine kurze Beschreibung, um was es überhaupt geht
7. Seltsame Sprache in der Beschreibung eines Mailanhanges, ergänzt um den Rechtschreibfehler im Wort „beigefugt“
8. Wer aus dem spammigen Gestammel erahnt, dass es um ein reserviertes Hotelzimmer geht, darf sich darüber wundern, dass nicht beschrieben ist, welches Hotel an welchem Ort es sein soll
9. Absurde Größenordnung von „Steuern und Abgaben“
10. Keine Grußformel
11. Keine angegebene Kontaktmöglichkeit für Rückfragen
12. Keine Angabe der Bank, mit deren Karte die Buchung angeblich gesichert sei
13. Keine Angabe der Nummer auf der „Bankkarte“
14. Angehängtes Dokument in einem ZIP-Archiv
15. Dateiname mit Endung .pdf.exe

Bei einer solchen Häufung von Merkmalen aus miesen Spamnummern sollte also kaum jemand auf diesen Versuch reinfallen.

Aber auch bei besser gemachten Spams kann ich es wegen der puren Menge der momentan so verabreichten Schadsoftware nicht oft genug sagen: Nicht vereinbarte Anhänge in E-Mails stinken. Das gilt besonders, wenn es sich um ein angebliches Dokument in einem ZIP-Archiv handelt, in dem man die Details erfährt, die im Text der Mail verschwiegen werden. Es gibt keinen sachlichen oder technischen Grund, so vorzugehen, es erhöht ganz im Gegenteil sogar die Wahrscheinlichkeit von Missverständnissen und damit den Aufwand im Kundendienst. Niemand, der im Internet geschäftlich tätig ist, würde das also tun.

Deshalb: Derartige E-Mails mit Anhang immer löschen, ohne sich den Anhang anzuschauen – und zwar insbesondere, wenn sich der Anhang auch noch in einem ZIP-Archiv befindet! Immer daran denken, dass der sichtbare Absender der Mail beliebig gefälscht werden kann! Und vor allem: Niemals blind auf Virenscanner vertrauen, sondern vor jedem Klick das Gehirn einschalten!