Kategoriearchiv „Allgemein“

Das eBay-Datenleck: Ein kleiner Rückblick

Mittwoch, 21. Mai 2014

Am 13. Februar dieses Jahres vermutete ich hier auf Unser täglich Spam, dass entweder bei PayPal oder bei eBay ein Datenleck vorliegen könne, weil mir ein Fall bekannt wurde, in dem ein Mensch sehr gezielt auf zwei Mailadressen Phishing-Mails erhalten hat:

Die mir vorliegende Spam – sie wurde mir übrigens von einem Leser „zugesteckt“ – ist keine „Streumunition“, sondern sehr gezielt. Sie ging an zwei verschiedene E-Mail-Adressen, die exklusiv für PayPal […] verwendet wurden. Zudem wurden die PayPal-Konten mit den beiden verschiedenen E-Mail-Adressen gegenüber verschiedenen Geschäftspartnern auf eBay verwendet.

Eine dieser E-Mail-Adressen wurde vor kurzem stillgelegt, die andere hingegen wurde neu eingerichtet und bis zum Empfang dieser Spam nur für eine einzige Transaktion verwendet.

Diese Vermutung scheint sich heute bestätigt zu haben, denn lt. Bericht des „Spiegel“ hat bei eBay ein nennenswertes Datenleck vorgelegen, das möglicherweise „eine große Zahl“ von Nutzern betrifft:

Dabei seien persönliche Kundendaten wie Namen, verschlüsselte Passwörter, Adressen, E-Mail-Adressen, Geburtstage und Telefonnummern erbeutet worden. Offenbar konnten die Angreifer Login-Daten von Mitarbeitern abgreifen und sich so Zugang zu den Kundendaten verschaffen. Es gebe allerdings keine Anzeichen, dass die Angreifer Zugriff auf Finanzinformationen wie Kreditkarten gehabt hätten.

Es war einzelnen Betroffenen damals möglich, dieses Datenleck frühzeitig zu erkennen (und mir einen Hinweis zuzustecken), weil sie E-Mail-Adressen eingerichtet haben, die nur für eBay oder PayPal verwendet wurden, die dann für (zum Glück sehr schlechte) Phishing-Spams benutzt wurden. Diese frühe Erkennung des möglichen Problems – immerhin ganze drei Monate, bevor es von eBay offiziell eingeräumt wurde – hat überhaupt erst die Möglichkeit geschaffen, präventiv einem Missbrauch der erbeuteten Daten durch die Organisierte Kriminalität entgegenzutreten.

Und genau deshalb kann ich es jedem nur empfehlen, für jeden benutzten Dienst im Internet eine eigene E-Mail-Adresse zu verwenden und beim ersten Aufkommen von Spam diese Mailadresse stillzulegen sowie den betroffenen Account ebenfalls stillzulegen oder doch wenigstens das Passwort zu ändern und mit deutlich erhöhter Aufmerksamkeit an diesen Account heranzugehen¹. E-Mail-Adressen gibt es ohne Ende. Dieser recht kleine Aufwand kann im Falle eines derartigen Datenlecks leicht sehr viel Ärger und Geld einsparen.

Die unerfreuliche Datenschleuder-Seite mit sicher erkannten Datenlecks renommierter Unternehmen und Institutionen hat jetzt auch einen weiteren Eintrag bekommen. Wer diese immer länger werdende Liste auch nur kurz überfliegt, findet hoffentlich auch, dass sich dieser kleine Aufwand (jeweils wenige Minuten für die Einrichtung einer E-Mail-Adresse) lohnt.

Denn wer sich auf die Datenschutz-Versprechungen anderer verlässt, der ist schnell verlassen.

Nachtrag 23. Mai, 12:45 Uhr: Es waren 145 Millionen [!] Kundendatensätze. Es ist erst Mai, aber eBay ist jetzt schon ein Kandidat für die Datenschleuder des Jahres.

¹Weil bei eBay Kundenbewertungen sehr wichtig sind, kann ein Stilllegen des Accounts schmerzhaft sein.

Das Quizduell der ARD: Eine Datenschleuder

Dienstag, 13. Mai 2014

Hier geht es nicht um eine Spam, sondern um eine Frage, die sehr häufig bei Menschen aufkommt, die zum ersten Mal mit Spam konfrontiert sind: Woher haben die Spammer meine Mailadresse. Oft lautet die Frage sogar: Woher haben sie meinen Namen. Weil diese Frage so häufig ist, habe ich nur dafür eine eigene Seite in Unser täglich Spam, die mögliche Antworten auf diese Frage skizziert.

In der dort gepflegten, stets wachsenden Liste großer und mittelgroßer Datenschutzversäumnisse renommierter Firmen und Institutionen gibt es nämlich einen Neuankömmling, den ich ganz besonders „warm“ begrüßen möchte: Die Arbeitsgemeinschaft der öffentlich-rechtlichen Rundfunkanstalten Deutschlands, besser bekannt als ARD, hat 50.000 vollständige Datensätze von Handyspiel-Teilnehmern des gestrigen „Quizduells“ mit Jörg Pilawa „veröffentlicht“. Die Datensätze (Name, Anschrift, Mailadresse, Geburtsdatum) sind für einen kriminellen Identitätsmissbrauch ebenso hinreichend wie für sehr gefährliches, personalisiertes Phishing.

Eine kurze, unsachliche Stellungnahme

Wer es nicht spätestens jetzt begreift, dass Datenschutz bedeutet, gegenüber allem und jedem sparsam mit seinen persönlichen Daten zu sein, wer nicht spätestens jetzt bemerkt, dass die Datenschutzversprechungen auch renommierter Unternehmen und Institutionen nicht die Elektronen wert sind, mit denen sie durchs Internet befördert werden, der wirds vermutlich gar nicht mehr begreifen und auch weiterhin für jedes alberne Spiel mit Journaille- und TV-Hintergrund – „Oh, da kann ich ja auch was gewinnen, da mache ich mal mit“ – oder jeden Nullwertdienst eines Unternehmens ohne seriöses Geschäftsmodell einen freizügigen Datenstriptease über ein abstraktes Medium hinlegen. Es sind alles erwachsene Menschen, und ich kann auch niemanden daran hindern, so zu tun, aber mein Mitleid mit Leuten, die eine solche Haltung haben und irgendwann zu Opfern von Verbrechern werden, hält sich doch sehr in Grenzen, ja, es spukt wie der Geist eines längst entschwundenen Mitleids vor sich hin. Und jeder, der ein Internet hat und trotzdem doofblickend in die Welt sagt, dass er doch nichts von solchen Risiken gewusst habe, möge bitte vor seinem Gemaule in den Kommentaren lernen, wie man Websuchmaschinen benutzt, um sich zu informieren und sich anschließend diese Haltung angewöhnen. Und nein, in der Glotze, diesem flackernden Volksempfänger, gibt es keine Information. (Jedenfalls nicht zu Sendezeiten, die einem arbeitenden Menschen das Zuschauen ermöglichen würden.) Da gibts konzentrierte und verdummende Dummheit mit psychisch ungesunder Affektheischerei. Und zwar auf jedem stinkenden Kanal.

Ein bisschen Information zum persönlichen Datenschutz gibt es schon hier, auf meiner eigens dafür eingerichteten Seite.

Inhalte durch Werbung finanzieren

Dienstag, 25. März 2014

Die Zeitungen zahlen nun den Preis dafür, dass sie schon vor langer Zeit die Kosten der von ihnen erzeugten Inhalte vom Gegenwert geschieden haben, den diese für ihre Leser haben. Oder, um es etwas anders zu sagen: Es liegt nicht daran, dass ‚das Internet die Werbung von der Inhaltserzeugung abgekoppelt‘ hätte, es liegt daran, dass sich Werber (völlig zu recht) einen Dreck um journalistische Ideale scheren. Es ist unfassbar ermüdend, die Verteidiger der Zeitungen reden zu hören, als sei das Werbegeld ein für sie von Gott gegebenes Recht, und dass Google und Facebook sie irgendwie bestehlen würden, während in Wirklichkeit Google und Facebook auf die anständigst mögliche Weise gewinnen, nämlich, indem sie einen besseren Gegenwert für das Geld der Werbetreibenden anbieten.

Ben Thompson, schnell von mir ins Deutsche übelsetzt. Via neunetz.com.

Adblocker schützen

Samstag, 15. März 2014

SemperVideo auf YouTube demonstriert an einem Alltagsbeispiel, wie ein Adblocker an der Wurzel verhindert, dass unerfahrene oder unaufmerksame Nutzer sich über eine Reklame in einem Suchergebnis gefährliche Scareware einfangen, mit der sie dann psychisch überrumpelt werden, kostenpflichtige Nutzlosdienste in Anspruch zu nehmen. Als kostenlose Dreingabe gibt es einen durch unerwünschte Konfiguration verhunzten Browser und eine Version der eigentlich gesuchten Software, die für die meisten Menschen nicht nutzbar ist.

Wie ich es nicht oft genug sagen kann: Die halbe Minute „Aufwand“ für die Installation eines wirksamen Adblockers macht nicht nur das ganze Web angenehmer und schneller, sondern gehört zwingender zur Sicherheits-Grundausstattung als ein so genanntes „Antivirus-Programm“. Vollkommen egal, welche Lügen ihnen von Unternehmen erzählt werden, die kein anderes Geschäftsmodell als den Transport unerwünschter Reklame von Drittanbietern entwickelt haben.

Lobende Erwähnung

Donnerstag, 16. Januar 2014

Nachdem es jetzt schon seit ziemlich genau einem Jahr Schadsoftware-Spam mit angeblichen Rechnungen der Deutschen Telekom gibt, hat sich die Telekom einmal befleißigt, auf ihrer Website einen kleinen, leichtverständlichen Text zur Aufklärung ihrer Kunden zu schreiben. Das ist ein Schritt in die richtige Richtung. Das Problem für die Kunden verschwindet nämlich nicht, wenn man wegschaut.

Von mir vor allem eine sehr wichtige Ergänzung: Dass man mit seinem Namen angesprochen wird, ist nach diversen Datenlecks kein sicheres Zeichen mehr, dass es sich nicht doch um eine Spam handelt. Bei Telekom-Rechnungen müsste meines Erachtens – ich bin dort kein Kunde und werde es auch niemals mehr werden (aber das ist eine andere Sache) – immer die Vertragsnummer mit drin stehen. Und die konnten Spammer bislang noch nicht systematisch einsammeln.

Ansonsten schadet es nicht, bei jedem Link vor dem Klick nachzuschauen, wo der Link eigentlich hinführt. Das ist nur ein kleiner Blick in die Statuszeile. Wenn der angebliche Link auf die Deutsche Telekom zu einer obskuren Website der Marke beschisskij (punkt) ru führt, einfach stattdessen auf „Löschen“ klicken. 😉

Hallo PayPal? Einschläge?

Freitag, 10. Januar 2014

Diese Mail ist keine Spam – aber sie ist so unterirdisch dumm, dass sie mir eine deutliche Erwähnung wert ist. Warum diese Mail so unterirdisch dumm ist, wird im Verlaufe des Textes hoffentlich jedem klar werden.

Die (im Falle einer Spam natürlich mit geringem Aufwand beliebig fälschbare) Absenderadresse ist customer (underline) research (underline) eu (at) paypal (punkt) com. Auf die Besprechung der Mailheader verzichte ich vollständig, weil schätzungsweise 95 Prozent der Empfänger dieser Mail das Wort „Mailheader“ noch nie gehört haben, wenn sie diese… ähm… besondere Kommunikationsleistung in einem Webmailer genießen.

Hallo, Vorname Nachname!

Anmerkung: Der Name ist korrekt. Das „Hallo“ ist wörtlich zitiert, das ist wirklich die in der Mail verwendete, geschlechtsneutrale Anrede. Spam mit namentlicher Anrede ist leider alltäglich geworden, nach diversen Datenlecks auch renommierter Websites selbst bei Menschen, die eher vorsichtig mit ihren Daten umgehen.

Wir möchten für Sie noch besser werden. Deshalb führen wir in regelmäßigen Abständen Umfragen unter unseren Kunden durch.

Nach Beendigung der Umfrage nehmen Sie automatisch an unserer Verlosung teil und haben die Chance 1.000 EUR zu gewinnen.

Anmerkung: Jeder gute Phisher könnte auf die gleiche Idee für seine „Story“ kommen. Verschenktes Geld ist eine begehrte Ware, die Empfänger einer Mail oft in der kriminell wünschenswerten Weise dumm macht. Dass es so viel schlechtes Phishing gibt, bedeutet leider nicht, dass es nicht auch einmal in „gut“ durchgeführt werden kann.

Zur Teilnahme an der Umfrage klicken Sie einfach auf diesen Link:
https://www.paypal-research.com?id=xxxx
damit sind Sie auch gleich automatisch bei der Verlosung dabei.

Anmerkung: Der Link geht nicht in die Domain von PayPal. Die verlinkte Seite ist ohne JavaScript nicht verwendbar. Einem leidlich sicherheitsbewussten Nutzer stellt sie sich inhaltsleer und fragwürdig dar.

Jeder Phisher, der sich als PayPal ausgibt, würde ebenfalls einen Link auf eine Webseite legen, die sich nicht in der Domain von PayPal befindet.

Das einzige, was hier bei einer typischen Spam ungewöhnlich wäre, ist die Verwendung von HTTPS. Es wird ein auf PayPal Inc. ausgestelltes Zertifikat von VeriSign verwendet. Es waren auch schon auf Google ausgestellte Zertifikate „im Umlauf“. TLS ist kaputt und in keiner Weise mehr dazu geeignet, Vertrauen darin herzustellen, dass eine Website von einer bestimmten Person oder Unternehmung betrieben wird. Und dieses kaputte Verfahren ist bis jetzt der einzige Hinweis darauf, dass es sich hier um etwas anderes als… sagen wir mal… eine Phishing-Spam handeln könnte.

Vielen Dank für Ihre Hilfe.

Ihr PayPal-Team

Anmerkung: So eine „Grußformel“ und so eine „Unterschrift“ könnte sich jeder dahergelaufene Nachwuchs-Phisher ausgedacht haben. Ich lese so etwas dermaßen häufig, dass ich es schon für ein Spam-Erkennungszeichen halte. Dieses Blogposting wurde übrigens vom Kaiser von China verfasst.

PayPal hat das unabhängige Marktforschungsunternehmen Marketing and Planning Systems beauftragt, diese Online-Umfrage unter seinen Mitgliedern durchzuführen. Wenn Sie Fragen bezüglich der Rechtmäßigkeit dieser Umfrage haben, wenden Sie sich bitte an
customer (underline) research (underline) eu (at) paypal (punkt) com.

Anmerkung: Die Angabe einer Mailadresse, an die man antworten soll, ist ansonsten ein typisches Zeichen dafür, dass der Absender eine E-Mail gefälscht ist. In diesem Fall stimmt die angegebene Adresse mit der Absenderadresse der Mail überein, so dass diese Angabe nicht einmal nötig gewesen wäre. Solche überflüssigen Angaben habe (vermutlich nicht nur) ich relativ häufig in Spams aller Art, und sehr selten in echter Kommunikation.

Die offiziellen Teilnahmeregeln für die Verlosung können Sie abrufen, indem Sie hier klicken:
https://www.paypal-research.com/Surveys/PPResearch/PP_SurveySweeps_DE.html

Anmerkung: Die Teilnahmeregeln für eine „Verlosung“ von PayPal befinden sich nicht in der Domain, in der PayPal seine Website hostet.

Bitte beachten Sie, dass PayPal niemals persönliche Daten (Kennwort, Kreditkarten-/Kontonummern u. ä.) per E-Mail anfordert.

Anmerkung: Phisher tun dies in vielen Fällen auch nicht. Sie legen stattdessen einen „Klickmich-Link“, der nicht in die Domain der Website von PayPal führt. Dort gibt es dann eine Seite, die wie eine Seite von PayPal aussieht – und auf der dann Menschen zur Eingabe von Daten verleitet werden (und in gar nicht so seltenen Fällen auch noch Schadsoftware klandestin installiert bekommen, wenn sie einen anfälligen Browser, anfällige Browser-Plugins oder ein anfälliges Betriebssystem verwenden). Und ich habe genau den gleichen Satz auch schon in Phishing-Mails gelesen. Das gleiche gilt für…

Erfahren Sie, wie Sie Ihr Konto schützen können: https://www.paypal.com/de/securitytips

…den Link auf die – übrigens für PayPal-Nutzer wirklich lesenswerten – Sicherheitshinweise.

Diese Kontaktaufnahme erfolgt ausschließlich zu Marktforschungszwecken. Wenn Sie dies nicht ausdrücklich genehmigt haben, werden wird [sic!] aufgrund Ihrer Teilnahme an dieser Studie nicht erneut Kontakt zu Ihnen aufnehmen. Sämtliche erfassten Informationen sind vertraulich und die bereitgestellten Informationen werden ausschließlich im Rahmen der Datenschutzrichtlinien von PayPal verwendet, die Sie unter der folgenden URL finden:
https://www.paypal.com/de/privacy

Anmerkung: Jede gute Spam kommt mit einer guten Geschichte – und oft eben auch mit kleinen Verschreibern, die auf mangelnde Sorgfalt hinweisen, und zwar vor allem zum Ende des Textes hin, wenn es nicht mehr um die beabsichtige kriminelle „Nummer“ geht, sondern um die Simulation von Sinnhaftigkeit und Seriosität und um die textmengenmäßige „Aufplusterung“ einer dünnen Geschichte.

Bitte melden Sie sich bei Ihrem PayPal-Konto an, klicken Sie auf das untergeordnete Register „Mein Profil“, und klicken Sie in den Kontoinformationen auf den Benachrichtigungslink, um Ihre Benachrichtigungseinstellungen zu ändern. Es kann bis zu zehn Tage dauern, bis Änderungen in unseren Mail-Einstellungen umgesetzt werden. PayPal verkauft und vermietet keine personenbezogenen Daten an Dritte. Weitere Informationen über die Sicherheit Ihrer Informationen finden Sie in unsren Datenschutzrichtlinien unter
https://www.paypal.com/de/privacy.

Anmerkung: Das ist die erste Textstelle, die nicht nach einer guten Phishing-Mail aussieht – denn ein Phisher hätte hier einen Link auf eine Login-Seite gesetzt. Ein halbwegs problembewusster Mensch, der sich nicht von Betrügern abziehen lassen will, kommt aber nicht so weit, weil er schon mehrere unwiderstehliche Zuckungen im Löschfinger hatte.

Diese PayPal-Benachrichtigung wurde an to [sic!] n.n. (at) n.n. (punkt) de, da Ihre E-Mail-Einstellungen auf den Erhalt von Kundenfeedback-Umfragen eingestellt sind. Klicken Sie zum Abbestellen hier:
www.paypal.com/DE/cgi-bin/webscr [… ID entfernt]

Anmerkung: Wer der Empfänger dieser E-Mail ist, habe ich auch am Empfängerfeld im Mailclient sehen können – die Angabe ist also redundant und ziemlich sinnbefreit. Die benannte Einstellung wurde vom Empfänger dieser Mail niemals bewusst vorgenommen, und dort sind auch seit etlichen Jahren keine derartigen E-Mails angekommen, so dass davon auszugehen ist, dass diese Einstellmöglichkeit wohl erst vor kurzem hinzugefügt wurde und standardmäßig… ähm… auf den für PayPal erwünschtesten Stand gebracht wurde. Wenn man nach dieser mutmaßlichen kleinen Eigenmächtigkeit von PayPal eine E-Mail erhält, die auch auf dem zweiten Blick kaum von einer Phishing-Mail zu unterscheiden ist, glaube ich kaum, dass bei irgendeinem Menschen ein Wunsch nach der Wiederholung eines solchen Erlebnisses besteht.

© 2014 PayPal Inc. Alle Rechte vorbehalten. PayPal hat seinen Unternehmenssitz unter der Anschrift Suntec
Tower 5, 5 Temasek Boulevard #09-01, Singapore 038985

Anmerkung: „Geistiges Eigentum“ für eine massenhaft versendete Reklame-E-Mail zu deklarieren, ist so strunzdumm-grenzbescheuert, dass mir immer wieder die Worte fehlen. Möchte mich jetzt vielleicht noch jemand von PayPal dafür verklagen, dass ich darauf hinweise, dass es sich bei dieser verdächtig nach Spam aussehenden E-Mail nicht um eine Spam handelt?

Weitere Anmerkung zu einem hier gepflegten „Standard“: Die Mail ist nicht digital signiert. Der wirkliche Absender könnte – wie gesagt, einen Blick in die Mailheader behandle ich hier nicht – aus Nutzersicht jeder sein. (Die Angabe des Servers im Mailheader gibt auch nur etwas mehr Gewissheit, denn Mailserver werden manchmal feindselig übernommen.)

Offener Brief an PayPal

Werte dafür verantwortliche PayPal-Mitarbeiter,

bitte nehmt es mir nicht persönlich, und ich weiß ja auch, die viele Arbeit und man baut auch mal fürchterlichen Mist… aber… wo habt ihr euer Gehirn gelassen, als ihr diese E-Mail formuliert habt?

Jeder Mensch, der auch nur einen Funken Bewusstsein für die typischen Kriminalitätsformen im Internet hat, wird diese Mail nicht zu Ende gelesen und schnell gelöscht haben. Sie ist für den normalen Empfänger nicht von einer gut gemachten Phishing-Mail zu unterscheiden.

Ihr verwendet als PayPal Links in eine Domain, die nicht die Domain der PayPal-Website ist und fordert dazu auf, auf diese Links zu klicken. Das ist ein typisches Erkennungszeichen für Phishing. Die Verwendung von Domains, die irgendwie nach PayPal klingen, ist beim Phishing auf PayPal-Konten gang und gäbe – und nicht nur dort wird mit Domains geblendet.

Ich habe von dieser Mail erfahren, weil mir jemand etwas aufgelöst gesagt hat: „Die Spammer haben jetzt schon meine eigens für PayPal eingerichtete Mailadresse und meinen Namen“. So gut habt ihr den Eindruck einer Phishing-Mail erweckt. Ein technisch unbedarfter, aber angesichts der laufenden Betrugsnummern vorsichtiger Empfänger hält eure Mail sofort für eine kriminelle Spam und verliert diesen Eindruck auch nach dem zweiten und dritten Lesen nicht.

Ich weiß nicht, was der beabsichtigte Zweck eurer Umfrage ist. Aber eins weiß ich: Ihr bekommt gerade eine riesen Liste von Kunden, die auch auf Phishing reinfallen könnten. Und das Beste daran: Ihr macht ihnen gerade völlig klar, dass die Eigentümlichkeiten von Phishing-Mails gar nichts Ungewöhnliches sind, das sofort Verdacht erwecken und zur Löschung der Mail führen sollte. Ganz im Gegenteil: Mit echten Mails von PayPal sieht es ja genauso aus.

Ein Beitrag zur Erhöhung der Kontensicherheit bei euch ist das nicht. Und „sicherererer“ wird dadurch nur das Geschäft von Gestalten, die in meinen Augen besser ganz sicher in einer Gefängniszelle untergebracht wären, wo sie nicht mehr betrügen können.

Kurz gesagt: Ihr handelt unverantwortlich und dumm.

Und das solltet ihr in Zukunft nicht mehr tun.

Nennt mir bitte einen einzigen, vernünftigen Grund, warum eine von euch in Auftrag gegebene und betriebene Umfrage nicht in eurer gewöhnlich verwendeten Domain gemacht werden kann! Einen einzigen nur! Sind eure Festplatten voll? Streikt euer Webserver, wenn er Umfragen machen muss, weil er dafür nicht bezahlt wird? Habt ihr Verstopfungen in der Datenleitung? Oder wollt ihr einfach nur eure Kunden zur Unvorsicht in der Reaktion auf angebliche Mails „von PayPal“ erziehen? Und wenn ihr schon aus irgendeinem Grund – zum Beispiel, um die Umfrage vom eigentlichen Geschäftssystem abtrennen zu können – eine andere Domain dafür nehmt, warum im Namen des heftig hackenden Henkers richtet ihr nicht einfach eine Subdomain von paypal (punkt) com ein? Habt ihr etwa keinen Admin, der weiß, was so eine Subdomain ist? Muss ich euch etwa die „Geheimnisse“ des DNS erklären?

Ihr habt mir heute wirklich ein bisschen das Gruseln gelehrt.

Und, was noch viel schlimmer als mein letztlich doch eher irrelevantes Entsetzen ist: Ihr habt einen kleinen Beitrag dazu geleistet, dass ein besseres „Biotop“ für Phisher entsteht, und zwar zum Nachteil eurer naiveren Kunden. Wie groß der ungefähre Schaden durch diese Form der Kriminalität ist, fragt bitte bei euch selbst im Hause – im Controlling wird man davon einen gewissen Überblick haben.

Ich wünsche euch für zukünftige derartige Umfragen etwas mehr Geschick bei der Vorgehensweise!

Euer ziemlich erschrockener
Nachtwächter

„Yahoo!“ jubelt die organisierte Kriminalität

Montag, 6. Januar 2014

Warum man grundsätzlich, immer und auf jeder Website einen Adblocker verwendet, erklärt euch heute einmal zur Abwechslung die Redaktion der Tagesschau (dauerhaft archiverte Version gegen die „Depublizierung“):

Schätzungen der Firma zufolge wurden die Schadprogramme an rund 300.000 Nutzer pro Stunde geschickt. Dies entspreche rund 27.000 Infizierungen pro Stunde. Am stärksten betroffen seien Frankreich, Großbritannien und Rumänien

Natürlich sind die hier angegebenen Zahlen für die feindliche Übernahme von Computern durch die organisierte Kriminalität nur geschätzt (und die indirekte Rede macht klar, dass die Tagesschau-Redaktion hier eine nicht genannte externe Quelle wiedergibt). Es ist für Yahoo zwar möglich, zu wissen, welche Seiten wie oft aufgerufen wurden – aber ob es dabei auch zu einer Ausführung von Schadsoftware kam, kann nur „erraten“ werden. Eine „Erfolgsquote“ von neun Prozent (wegen anfälliger Browser, anfälliger Plugins, anfälliger Betriebssysteme) kommt mir dabei eher etwas gering angesetzt vor. Moderne Schadsoftware für den „Infektionsweg Browser“ prüft sämtliche bekannten Schwachstellen.

Zu einer Verteilung von Schadsoftware über eingeblendete Werbebanner kommt es immer wieder einmal, und regelmäßig sind auch große, renommierte Websites davon betroffen. Da es sich dabei um aktuelle Schadsoftware handelt, sind so genannte „Antivirusprogramme“ wirkungslos und lassen ihren Anwender schutzlos zurück. Die Verwendung eines wirksamen Adblockers beseitigt hingegen diese gefährliche Angriffsmöglichkeit an ihrer Wurzel und macht zudem das Web zu einem schöneren und schnelleren Erlebnis. Ich empfehle Adblock Edge.

Also: Immer einen Adblocker verwenden! Niemals den Adblocker ausschalten! Egal, was irgendwelche Jornalisten, Verleger und Web-Geschäftemacher ohne seriöses Geschäftsmodell zu diesem Thema noch sagen mögen! Sie würden ja auch nicht ihren Virenschutz und ihre personal firewall abschalten, nur weil ihnen jemand sagt, dass das besser für seine Geschäfte sei… 😉

Und ja, es ist Zufall, dass es Yahoo erwischt hat. Meine etwas hämische Wortspielerei im Titel ist inhaltlich bedeutungslos. Es kann jede Website erwischen, die Werbung über externe Anbieter einbettet. Zum Beispiel auch die Website ihrer Lieblingszeitung, ihres bevorzugten Fernsehsenders oder dergleichen. Das automatische Einbetten von Code irgendwelcher Reklamefirmen ist das Problem. Und das gilt nicht nur für den Code „kleiner Werbeklitschen“, sondern auch für Google und Microsoft. Ganz im Gegenteil: Die großen Anbieter sind für die Kriminellen aus naheliegenden Gründen ungleich interessanter, da in der kurzen verfügbaren Zeit mehr Computer übernommen werden können. Und dann kommt es zum Beispiel zum manipulierten Online-Banking…

Spammangelüberbrückung: Einige Hinweise

Donnerstag, 2. Januar 2014

Es ist kaum zu glauben, aber ich habe gerade Spammangel. Nein, es ist natürlich nicht so, dass ich keine Spam mehr bekäme, aber ich bekomme keine neue Spam. Stattdessen immer wieder die gleichen hirntoten Texte der Marke „Uns vom Ruby Palace ist Ihr Gewinnpotenzial äußerst wichtig“. Ah, ja!

Das ist eine gute Gelegenheit, hier einige allgemeine Hinweise zu geben und den einen oder anderen Link zu setzen. 😉

Ein Tipp zur Erkennung von E-Mail-Spam

Meinem Leser F. L. habe ich den folgenden Tipp zur leichteren Erkennung von E-Mail-Spam zu verdanken – allerdings ist die Benutzung eines Mailclients wie Mozilla Thunderbird Vorraussetzung, es wird so nicht mit Webmailern funktionieren. Weil der Thunderbird schlicht der beste frei verfügbare Mailclient ist, beschreibe ich die Vorgehensweise dort:

Sehr viel E-Mail-Spam enthält – ebenso wie die Mehrzahl der legitimen E-Mail-Verteiler – keine normale Empfängeradresse. Die Empfänger werden technisch als BCC-Header angegeben, als Empfänger ist so etwas wie „undisclosed-recipients“ eingetragen, die Verteilung der Mail erfolgt durch den Mailserver.

Wenn man in der Listendarstellung im Posteingang also auch die Empfängeradresse sehen kann, lässt sich ein Teil der Spam sehr einfach als Spam erkennen und behandeln. Natürlich wird der Empfänger standardmäßig nicht angezeigt, weil er in legitimer E-Mail klar ist.

Erfreulicherweise ist es möglich, auch den Empfänger in der Liste der Mails einzublenden. Das geht so:

Öffnen sie das Kontextmenü über den Spaltentiteln in der Liste mit den E-Mails. Dazu bewegen sie den Mauszeiger über die Titel und klicken mit der rechten Maustaste. Es wird ein Menü sichtbar, in dem sie auswählen können, welche Spalten in der Liste angezeigt werden. Dieses Menü sieht so aus…

…und es sollte sich von selbst erklären. 😉

Natürlich ist das allein kein sicheres Erkennungsmerkmal. Bei typischen Phishing-Mails, beim Vorschussbetrug und bei Mails mit Schadsoftware-Anhang wird beinahe immer die Mailadresse des Empfängers eingetragen. (Es ist auch nicht besonders schwierig, ein Skript zu schreiben, das jede Mail einzeln versendet.) Aber ich kann mir durchaus vorstellen, dass diese Ansicht vielen Menschen hilft, der täglichen Flut von Müll besser Herr zu werden. Eine Spam, die gar nicht erst gelesen wird, spart schließlich etwas von der beschränkten Lebenszeit, mit der man doch lieber Erfreulicheres anstellt…

Spam, Phishing, Fakes und Betrug auf Facebook

Als jemand, der nicht bei Facebook – von mir „liebevoll“ Fratzenbuch genannt – ist, bekomme ich die dort umlaufenden Spams (zum Glück) nicht mit und kann nicht darüber schreiben.

Das macht aber nichts, denn Mimikama leistet hier hervorragende Arbeit mit leichtverständlicher Aufklärung in einem deutlich sachlicheren Ton als dem, den ich hier gewöhnlicherweise auf Unser täglich Spam pflege.

Wer bei Facebook ist, sollte Mimikama regelmäßig lesen oder den Mitteilungen auf Facebook folgen. [Hinweis für Allergiker: Der Link geht zu Facebook] Einige der auf Facebook umlaufenden Phishing-Nummern sind durchaus gefährlich.

Übrigens: Ein E-Mail-Passwort sollte niemals irgendwo anders im Internet als gegenüber dem Mailserver an- oder eingegeben werden, und schon gar nicht zusammen mit der Mailadresse. Es ist für niemanden anders nötig, das Passwort eines E-Mail-Kontos zu kennen, und damit kann auch nichts „verifiziert“ werden. Nur Spammer kommen so an frische, „unverdächtige“ Mailserver und Adressen für ihre Tätigkeiten, die niemand vermisste, wenn es sie nicht mehr gäbe.

Missbrauch der Spamblockfunktion auf Twitter

Auf Twitter – von mir „liebevoll“ Zwitscherchen genannt – gibt es einige politisch umtriebige Mensch_innen, die aus der relativen Anonymität Twitters heraus dazu auffordern, bestimmte Benutzer mit in ihren Augen missliebigen Meinungen zu spamblocken, um auf diese Weise solche Meinungen aus Twitter zu entfernen.

Ich rate strikt davon ab, solchen Aufforderungen Folge zu leisten. Solche Aufforderungen sind dumm und erschweren Twitter die Bekämpfung der Spam, was ein Schaden für alle Nutzer ist. Letztlich arbeitet der angestrebte Missbrauch der Spam-Melde-Funktion den kriminellen Spammern zu, und zwar zum Schaden aller derjenigen Twitter-Nutzer, die später zum Opfer der diversen kriminellen Maschen werden.

Twitter kennt zwei Formen der Blockade.

Nutzer blockieren
Das bedeutet, dass man den Nutzer nicht mehr in der eigenen Timeline sehen kann und somit auch seine Äußerungen nicht mehr ertragen muss – mit dem manchmal nachteiligen Nebeneffekt, dass man sie auch nicht mehr mitbekommt, um dazu Stellung nehmen zu können. Anders, als viele Nutzer spontan annehmen, bedeutet das nicht, dass der blockierte Nutzer nicht mehr die eigenen Tweets lesen kann. Tweets in einem nicht auf privat gesetzten Twitter-Kanal sind öffentlich, sie können sogar von Menschen eingesehen werden, die gar nicht bei Twitter angemeldet sind und mithilfe der Twitter-Suche aufgefunden werden. Wer das aus irgendeinem Grund – mir fallen da sehr viele ein¹ – nicht möchte, muss seinen gesamten Twitter-Kanal auf „privat“ setzen, um für jeden, der daran teilhaben möchte, einzeln zu entscheiden, ob die Tweets gelesen werden können. Diese Einstellung ist – im Gegensatz etwa zu den Privatsphäre-Einstellungen bei Facebook – sehr einfach und ihre Bedeutung lässt sich in einem einzigen Satz erklären: Es gibt nur öffentliche und private Kanäle. Generell ist es übrigens ziemlich dämlich und zeugt sowohl von sozialer als auch technischer Inkompetenz, empfindliche und schützenswerte private Kommunikation über einen öffentlichen Kanal laufen zu lassen.
Nutzer als Spam melden
Das blockiert den Nutzer – wie im letzten Punkt beschrieben – und meldet ihn zusätzlich gegenüber Twitter als Spam. Natürlich hat Twitter ein Interesse daran, Spam zu bekämpfen, und von daher führt eine Häufung von Spammeldungen dazu, dass ein Twitter-Account von Twitter stillgelegt wird. Spam besteht etwa in spammigen @-Mitteilungen, im betrügerischem Missbrauch Twitters, aber auch in der „klassischen“ massenhaften Follow-Spam, die manchmal leicht zu erkennen ist, fast immer inhaltsleer stammelnd daher kommt, zuweilen aber auch mit „simulierten Inhalten“ und die darauf baut, dass häufig halbmechanisch zurückgefolgt wird, um so ein großes (und übrigens in gewissen Kreisen auch verkäufliches) Auditorium für spätere Spamtweets zu schaffen. Etwas als Spam zu melden, ist ein Hinweis an Twitter, dass ein Account für Spam missbraucht wird und deshalb entfernt werden sollte. Das ist selbst für minder aufgeweckte Zeitgenoss_innen nicht allzu schwierig zu verstehen.

Nun haben also einige Mensch_innen „entdeckt“, dass man mit Spammeldungen andere Menschen bei Twitter „wegbeißen“ kann und machen daraus öffentliche Aufforderungen, so vorzugehen – jetzt, nach recht scharfem Gegenwind, auch ohne öffentlich sichtbaren Aufforderungscharakter wie etwa in diesem prangerhaften Kanal².

Was bedeutet das von der Seite Twitters aus gesehen.

Nun, ich muss einräumen, dass ich selbst einmal als „Nazi“ – nein, das ist kein Witz, es gibt da draußen Menschen, die mich zwar nicht kennen, mich aber für einen „Nazi“ halten und mich als solchen bezeichnen³ – zum Opfer eines solchen rudelhaften Spamblockens geworden bin und zu meiner Überraschung eines Tages feststellte, dass mein Twitter-Account nicht mehr bestand.

Natürlich habe ich mich bei Twitter gemeldet, und natürlich wurde mein Account dort binnen zweier Tage vollständig wiederhergestellt, da es schon durch kurze Einsicht offensichtlich ist, dass ich kein Spammer bin.

Der Vorgang hat also einen nicht algorithmisch behandelbaren Arbeitsaufwand bei Twitter verursacht, der Twitter Geld für die aufgewändete Arbeitszeit kostet. Natürlich wird Twitter als gewinnorientierte Unternehmung dafür Sorge tragen, dass diese Art von Kosten so gering wie nur möglich ist und deshalb an seinen Algorithmen „schrauben“, die für die Einordnung eines Nutzers als Spammer verantwortlich sind. Wenn unbegründete Spammeldungen zunehmen, wird dies zur Folge haben, dass selbst häufig gemeldete Spammer seltener geblockt werden. Der zunehmende Missbrauch der Spammeldefunktion als „Stummschalttaste“ für unerwünschte Meinungen arbeitet also direkt asozialen Spammern zu, die auf Twitter mehr Zeit für ihre „Opferfindung“ und ihre üblen „Geschäfte“ zur Verfügung haben – und das vor allem zum Schaden naiver und somit besonders schützenswerter Nutzer.

Und deshalb ist dieser Missbrauch der Twitter-Funktion „Als Spam melden“ so dumm und so asozial wie die Spam selbst.

Wer für sich und andere einen quasi-offenen Kommunikationsbereich schaffen will, in dem bestimmte Meinungen und Menschen nicht auftreten können, sollte sich vielleicht einfach mit kostenloser und freier Software ein Webforum aufsetzen, in welchem die angestrebte inhaltliche Restriktion bequem administrativ durchgesetzt werden kann. Das ist auch für technisch ungeübte Mensch_innen mit aufschreiendem Grimme-Preis-Hintergrund gar nicht weiter schwierig und bequem binnen eines Tages zu bewältigen. Aber die eigene Stimme in eine Öffentlichkeit zu tragen, um gleichzeitig die Pluralität von Erfahrungen, Meinungen und Macken dieser Öffentlichkeit mit einer dummen und gegenüber anderen Menschen verantwortungslosen Wahllosigkeit der dabei angewandten Mittel bekämpfen zu wollen, ist eine Haltung, die vor allem eines verrät: Einen gleichsam totalitären wie völlig gedankenlosen Charakter.

Punkt.

Fußnoten

¹Schüler möchten miteinander in einer Gruppe kommunizieren, ohne dass ihre Lehrer mitlesen; abhängig Beschäftigte möchten nicht, dass ihre Chefs mitlesen und dergleichen mehr…

²Hier nur ein Screenshot zu Archivzwecken, ich mag so etwas nicht auch noch mit einer Verlinkung „adeln“.

³Was bedeutet es eigentlich, wenn der Begriff „Nazi“ dermaßen frei verwendet wird, dass er auf jeden Menschen anderer Meinung, Ausdrucksweise, Wertung passt, ja, trotz des an erster Stelle stehenden Wortbestandteils „National“ sogar auf einen Anarchisten wie mich, der (ohne große Hoffnung, aber mit großer Aussicht) Staaten für ein Konzept hält, das möglichst schnell kulturell überwunden werden muss? Das Wort „Nazi“ verliert jede Bedeutung. Es wird ein Schimpfwort wie „Arschloch“, das man letztlich auf jeden Menschen und auf alles legen kann – nur notdürftig rationalisiert durch eine pseudopolitische Deutung der anderen zugesprochenen „Arschlochhaftigkeit“. Der Preis dafür ist die Verharmlosung eines wenig erfreulichen Teils der deutschen Geschichte und der immer noch gegenwärtigen, ideologisch motivierten Gewalt gegen Menschen anderer Herkunft; geheiligt durch den hehren moralischen Anspruch unter dem wehenden Banner des „Antifaschismus“. Leute, das kann es doch nicht sein, oder?! Mein hier in einigen Worten durchschimmernder, beißender Spott gilt vor allem jenen, die zum verzerrten Spiegelbild derer werden, die sie zu bekämpfen vorgeben.