Kategoriearchiv „Informatives“

Warum man immer mit Adblocker surft!

Freitag, 23. Oktober 2015

Hier geht es nicht um eine Spam, sondern um einen Hinweis auf eine aktuelle Meldung bei Heise Online:

Besucher der Webseiten arcor.de, ebay.de und t-online.de können sich mit den Exploit-Kits Angler und Neutrino infizieren, warnen Sicherheitsforscher von Malwarebytes. Aktuell soll eine von Unbekannten initiierte Malvertising-Kampagne die Exploit-Kits verteilen

Die Benutzung eines Adblockers verhindert eine derartige Übernahme des Computers durch Kriminelle an der Wurzel, und das selbst dann, wenn die konkret verwendete Schadsoftware bei den Herstellern von Antivirus-Schlangenölen noch nicht bekannt ist. Adblocker sind unverzichtbare Schutzsoftware zum Aufrechterhalt der Computersicherheit – und die Gefahr durch schadsoftwareverseuchte Ads kann einem selbst auf renommierten und hoch angesehenen Websites wie etwa der Website von Arcor, Ebay oder T-Online begegnen. Wer dazu auffordert, Adblocker abzuschalten, damit sein Geschäftsmodell besser funktioniert, ist ein Komplize der organisierten Kriminalität. Das gilt auch für journalistische Produkte.

Sie würden doch aucn nicht ihr Antivirusprogramm abschalten, weil sie ein dahergelaufener, anonym bleibender Websitebetreiber darum bittet, oder? Lassen sie sich bitte niemals, niemals, niemals von Journalisten und Presseverlegern zu einer derartigen Dummheit hinreißen, surfen sie grundsätzlich nur mit einem guten, funktionierenden Adblocker! Ich empfehle übrigens uBlock Origin.

Und wenn sie schon einmal dabei sind, installieren sie bitte auch gleich einen wirksamen JavaScript-Blocker, um nicht jeder irgendwann einmal angesurften Website das Privileg einzuräumen, Programmcode innerhalb ihres Browsers aus ihrem Computer auszuführen! Ansonsten haben sie nämlich auch recht schnell einen Rechner anderer Leute auf dem Schreibtisch stehen, und das Antivirus-Schlangenöl erweist sich erschreckend oft als nutzlos dagegen.

Zweckmäßige Blödheit?

Mittwoch, 7. Oktober 2015

Ich habe eine E-Mail mit einer beachtenswerten Betrachtung der „Dummheit“ der meisten Spams bekommen, aus der ich hier ein längeres Zitat veröffentliche, weil es einen bedenkenswerten und von mir so noch nicht gedachten (und deshalb auch nicht verbloggten) Gedanken formuliert:

Beim Lesen deines Blogs kommen mir immer wieder philosophische Gedanken. Wie du war ich anfangs auch immer wieder entsetzt darüber, wieviel Dreck da täglich in meinem Eingangsfach landet – und auch wie blöd (oder bequem) diese Kriminellen sein müssen, dass sie nicht in der Lage sind, eine vernünftige Rechtschreibung hinzubekommen und sich durch viele billige und mit nur etwas mehr Mühe leicht vermeidbare Fehler so schnell verraten, dass es schon fast weh tut.

Aber nach all den Jahren habe ich inzwischen den Verdacht, dass Spam nicht deshalb so blöd ist, weil die Urheber es auch sind. Ich vermute eher, dass es den Kriminellen vielmehr darum geht, alle halbwegs Intelligenten von vornherein auszusortieren, weil diese als Zielgruppe ohnehin nicht infrage kämen. Denn in der Folge würde sonst viel zu viel Aufwand betrieben werden müssen, einen Coup bis zum erfolgreichen Abschluss durchzuziehen. Etwa beim üblichen Vorschussbetrug ist der Spammer ja darauf angewiesen, bei der nachfolgenden persönlichen Kontaktaufnahme so schnell und so einfach wie möglich zum Ziel zu kommen, da kann er keinen Argwohn brauchen. Einmal installierte Trojaner sollten natürlich möglichst lange unbemerkt laufen, da kann man keinen Anwender brauchen, der dann im Zweifel weiß, wie er die eingefangene Schadsoftware schnell wieder los wird, sollte er sie tatsächlich einmal mit „bitte hier klicken“ installiert haben. Und natürlich ist auch keinem Verbrecher damit gedient, wenn ein Opfer weiß, wie es sich ggf. durch Inanspruchnahme von Judikative und Exekutive gegen einen Betrug zur Wehr setzen kann.

Also ist die Rechnung simpel, aber effektiv: Die Erstkontaktaufnahme muss mit möglichst blödsinnigen Spams erfolgen, damit Menschen, die die korrekte Rechtschreibung einigermaßen beherrschen und darüber hinaus ein Mindestmaß an IT-Kompetenz besitzen, sich mit Grausen und Kopfschütteln abwenden – auf dass so nur noch die wirklich Dummen und Ungebildeten, die sich umso leichter über den Tisch ziehen lassen, auf die billigen Tricks hereinfallen.

Danke, T.! 😉

Spam im Debian-Bugtracker

Donnerstag, 1. Oktober 2015

Wenigstens ist nicht davon auszugehen, dass sich ein Debian-Entwickler diese Trojaner-Schleudern auf seinen Rechner holt. Aber festzuhalten bleibt, dass Spammer immer wieder nach neuen Wegen für ihre alten Nummern suchen und dabei so viel Intelligenz und Einfühlungsvermögen wie eine mit Schleifpapier beschichtete Analsonde an den Tag legen.

Ach ja: Die Tatsache, dass die hier von Spammern am 18. August dieses Jahres, also vor mittlerweile vierundvierzig Tagen veröffentlichte Trojanerschleuder immer noch von der Hälfte der gängigen Antivirus-Schlangenöle nicht erkannt wird, belegt wieder einmal deutlich, wie sinnlos der Beitrag dieser fragwürdigen Softwaregattung zur Computersicherheit ist. Wer sich darauf verlässt, kann sich auch gleich ein Heiligenbild auf die Festplatte kleben. Um sich nicht darauf verlassen zu müssen, ist es wichtig, Spam zu erkennen, niemals und auf gar keinen Fall zu beklicken, sondern stattdessen zu löschen, niemals ohne Adblocker und ohne Javascript-Blocker im Web unterwegs zu sein und sein Betriebssystem auf aktuellem Stand zu halten, damit kriminellen Angreifern möglichst wenig ausbeutbare Fehler zur Verfügung stehen. Wer noch mehr Sicherheit benötigt oder haben möchte (zum Beispiel, weil er Bankgeschäfte über seinen Computer macht), sollte als mögliche zusätzliche Maßnahme unbedingt über ein anderes Betriebssystem als Microsoft Windows nachdenken. Dass die Journalisten, die bei euch allen beinahe jeden Tag einen völlig anderen Eindruck zu erwecken versuchen, von eingeblendeter Werbung leben und an Nutzern mit wirklichem Bemühen um Computersicherheit mit ihrer gegenwärtigen unseriösen Geschäftsidee kein Geld verdienen können, macht hoffentlich auch klar, warum sie beinahe jeden Tag einen völlig anderen (und gefährlich falschen) Eindruck bei euch erwecken. Naivlinge sollen sogar manchmal den Journalismus für seriös und glaubwürdig halten…

Und nein, an dieser inzwischen sehr betagten Schadsoftware scheitern nicht nur Randprodukte. Daran scheitern auch Avira, ClamAV, Malwarebytes, Panda, TrendMicro und Symantec, also „Sicherheitsprodukte“ mit beachtlichem Ruf, auf die sich viele Menschen jeden Tag verlassen.

Hinweis via @benediktg@gnusocial.de

Warum man immer mit Adblocker surft!

Mittwoch, 16. September 2015

Adblocker sind eine elementare Software zur Erhöhung der Computersicherheit, die einen wesentlichen Weg für die Übernahme des Computers durch die Schadsoftware von Kriminellen selbst dann blockieren, wenn es sich um tagesaktuelle Schadsoftware handelt, die von Antivirus-Schlangenölen nicht erkannt werden kann. Wer darauf verzichtet, handelt fahrlässig und dumm. Und außerdem machen Adblocker das Web schöner, schneller und klimaschonender¹.

Und nun der tagesaktuelle Lesetipp zum Thema:

Malvertising – die Auslieferung von Malware über Werbeanzeigen – hat in den vergangenen Jahren stark zugenommen. Dabei schleusen Kriminelle gefälschte Werbeanzeigen auf Webseiten ein, um die Nutzer mit einem Exploit-Kit zu infizieren. Eine aktuelle Malware-Kampagne blieb Forschern von Malwarebytes zufolge über mehr als drei Wochen unentdeckt – und das, obwohl viele bekannte Werbenetzwerke wie Doubleclick und Appnexus sowie Webseiten wie Ebay davon betroffen waren

Weiterlesen bei Golem – Security: Malware-Angriff aus der Werbung…

Und niemals, niemals, niemals auf die dumme Idee kommen, den Adblocker abzuschalten, nur weil ein Betreiber einer Website darum bittet! Auch dann nicht, wenn es sich bei der Einblendung von Werbung aus gefährlichen Drittquellen um das Geschäftsmodell handelt! Es würde ja auch niemand wegen einer aufdringlich vorgetragenen Bitte in einer Website sein Antivirusprogramm abschalten, nur, damit jemand anders sein dummes und unseriöses Geschäftchen besser machen kann…

¹Okay, die letzte Zusicherung ist bullshittig. Aber der Rest stimmt!

Warum man immer mit Adblocker surft!

Samstag, 8. August 2015

Hier geht es nicht um eine Spam, sondern um eine aktuelle Meldung zur Computersicherheit.

Vielleicht haben viele schon mitbekommen, dass es einen Fehler im integrierten PDF-Viewer des Firefox gab, der das Auslesen beliebiger lokaler Dateien und ihre Übermittlung an Kriminelle ermöglicht hat.

Wie haben die Kriminellen nun aber dafür gesorgt, dass verseuchte PDF-Dateien im Firefox dargestellt wurden? Nun, auf dem Weg, auf dem viele neue Angriffe gegen einen Browser vorgetragen werden:

Unbekannte haben ein Exploit der Schwachstelle über eine Anzeige auf einer russischen Webseite verbreitet

Über Werbung in Websites.

Wieder einmal.

Wer einen aktiven, wirksamen Adblocker hatte, konnte von diesem Angriff nicht erreicht werden. Nach wie vor handelt es sich bei den Adblockern um eine elementare Software zur Erhöhung der Computersicherheit, die einen wesentlichen Weg für Schadsoftware blockieren¹, so dass das – bei neuen Formen der Schadsoftware weitgehend machtlose – Antivirus-Schlangenöl² gar nicht erst scheitern kann. Und dieser einfach zu erzielende Zugewinn an Sicherheit verbindet sich mit einem schnelleren und ungestörteren Web-Erlebnis.

Dazu kann niemand „Nein“ sagen, der noch bei Troste ist.

Deshalb sollte man auch niemals ohne aktivierten Adblocker surfen!

In diesem Fall wären sogar Linux-Rechner angegriffen worden. Aber ein Werbeblocker hätte es an der Wurzel verhindert. Auf jedem Betriebssystem.

Und ganz wichtig: Wer noch nicht hat, sollte sich spätestens jetzt den aktuellen Firefox holen! Ein Fehler, der nicht mehr da ist, kann auch nicht mehr von Verbrechern ausgebeutet werden.

¹Wer jetzt sagt: „Aber Websites müssen sich doch finanzieren“, klicke bitte auf den Link und lese den Text bis zum Ende, denn ich gehe darauf ein.

²Wer sich an diesem zugegebenermaßen unsachlichen Wort für Antivirus-Produkte stört und meint, ich würde Menschen zu Leichtsinn aufrufen, lese bitte hier weiter und lasse sich von der völligen Sinnlosigkeit des Antivirus-Schlangenöls überzeugen. Wer dann immer noch meint, dass es einen Zugewinn an Sicherheit bietet, wenn man sich solche Technoquacksalberei auf seinem Computer holt, kann vermutlich durch nichts mehr dazu gebracht werden, einer dummen, allmedialen Reklame für irgendein Zeug zu misstrauen. Und ja: Auch die scheinbar redaktionellen Texte aus der Presse sind oft Werbung. Ich weiß aus eigener Erfahrung, wie stinkefaul und saudumm Journalisten sind und wie willfährig und wahllos sie gut gewählte Formulierungen einfach abschreiben, um sich dafür selbst als tolle Schreiber zu feiern. Wer sich aus Presse und Glotze informiert, wird eigentlich rund um die Uhr mit Reklame konfrontiert, davon in die gewünschte „Form“ gebracht und bleibt ansonsten dumm. Denn dumm kauft „gut“.

Re Gewinnbenachrichtigung.

Dienstag, 21. Juli 2015

Lange nichts im Spamlotto gewonnen…

Absender: Internationale Lotteriekommission <andrealcate (at) gmail (punkt) com>

Genau! Von einem „Lotterieveranstalter“, der nicht die paar Euro für eine eigene Domain und einen eigenen Mailserver übrig hat und deshalb eine kostenlos und anonym verfügbare Mailadresse bei einem Freemail-Anbieter für seine geschäftliche Kommunikation verwendet, der sich in seinen Nutzungsbedingungen das unverschämte Recht rausnimmt, jede E-Mail mitzulesen und für Reklamevermarktungszwecke auszuwerten. Es geht ja nur um viel Geld, wer will denn da noch Diskretion?

Wir freuen uns, mitteilen zu kцnnen, die Verцffentlichung des preisgekrцnten Benachrichtigung. Beigefьgt ist die Originalkopie der preisgekrцnte Anzeigeschreiben.

Herzliche Glьckwьnsche.

GrьЯe
RAUL J. GONZALEZ..

–
This email has been checked for viruses by Avast antivirus software.
https://www.avast.com/antivirus

Tja, bei einer so kurzen und dabei doch so peinlich fehlerhaften Mail fehlt nur noch der Blick in die „Originalkopie [!] der preisgekrönte Anzeigeschreiben“; ein Blick der bei Deutschlehrern Gruseln und bei den meisten anderen Menschen spontane Heiterkeit auslöst. Es handelt sich um das folgende PDF-Dokument – zum Vergrößern einfach das Vorschaubild anklicken:

Detail aus der angeblichen Gewinnbenachrichtigung: Siegel mit dem Text 'El Gordo Money back 100% guaranteed'. Das absolut Besteste daran: Wenn einem der Gewinn nicht gefällt, gibts eine hundertprozentige Geld-zurück-Garantie. So wird einem schon bei der erfreulichen Mitteilung, dass man ohne jeden Kauf eines Lotterieloses 950.000 Øre gewonnen hat, weil ein Agent der Lotteriekommission den Namen gekauft hat, völlig klar, dass da wohl doch noch eine Menge Geld zu löhnen ist, bevor das (nicht-existente) Milliönchen kommt. „Nett“ auch, dass sich der „Lotterieveranstalter“, der zwar Millionengewinne ausschüttet, aber die paar Euro zwanzig für einen richtigen Dolmetscher nicht entbehren kann, bei allen Empfängern für die Teilnahme bedankt, obwohl niemand freiwillig und bewusst teilgenommen haben kann.

Aber warum sollten sich miese Vorschussbetrüger auch nur ein bisschen Mühe mit ihren Nummern und ihren Texten geben? Dann könnten sie doch auch gleich arbeiten gehen…

Wer einmal vergleichen möchte: Das angehängte PDF ist praktisch identisch mit der Gewinnbenachrichtigung aus dem Mai dieses Jahres, und auch ansonsten haben die Vorschussbetrüger nichts an ihrer schlecht vorgetragenen Nummer verbessert.

Das kann leider nur eines bedeuten: Die haben damit genug Erfolg. 🙁

Es gibt also Menschen, die nach so einer E-Mail mit einem derartigen Anhang wirklich…

…an einen möglichen Lotteriegewinn glauben, obwohl sie bei der Lotterie niemals ein Los gekauft haben;
…ein mies gestaltetes Formular aus der E-Mail eines unbekannten Absenders mit genug Daten für einen kriminellen Identitätsmissbrauch ausfüllen;
…keine Zweifel entwickeln, wenn ein Lotterieveranstalter die Millionengewinne nicht von einer preisgünstigen Bank verwahren lässt (und Zinsen dafür kassieren kann), sondern in Form bunter Läppchen bei einer obskuren und hohe Gebühren fordernden „Sicherheitsfirma“ hinterlegt;
…für möglich halten, dass derartige „Sicherheitsfirmen“ zwar Millionenbeträge verwalten, aber dennoch keine Bankkonten haben und deshalb weder eine Banküberweisung noch einen Scheck empfangen können, so dass man ihnen alles Geld vollständig anonymisiert über Western Union, MoneyGram und Konsorten übertragen muss; und
…sich nicht eine einzige verdammte Sekunde lang daran stören, dass die gesamte E-Mail-Kommunikation über derartige Angelegenheiten – immer daran denken: Wenn die Geschichten stimmten, ginge es um verdammt viel Geld – in unverschlüsselter, beim Transport durchs Internet offen wie eine Postkarte lesbarer, nicht digital signierter E-Mail abgewickelt wird, die ausschließlich über kostenlose, anonyme Mailadressen bei Freemail-Anbietern läuft.

Nun, ich finde dieses Maß an Dummheit, Leichtgläubigkeit, Unwissenheit und digitalem Analphabetismus ziemlich gruselig – wenn da jemand, sagen wir mal: ein Professor an einer bundesdeutschen Universität, denkt „Das sieht ja alles so amtlich aus, das wird schon stimmen“ und Geld an Unbekannte überweist. Wegen einer E-Mail.

Schade, dass Dummheit kein Evolutionsnachteil mehr ist, der sich langsam rausmendelt, sondern geradezu gesellschaftlich gefördert wird!

YOUR EMAIL ACCOUNT IS FULL UPGRADE NOW

Samstag, 27. Juni 2015

Nein, die folgende, sehr auffällig in HTML gesetzte Spam kommt nicht von einem E-Mail-Provider, sondern von einem Spammer. Sie kommt auch auf Mailadressen an, die keinerlei Probleme mit dem Speicherplatz auf der Server haben. Sie sieht so aus:

Screenshot der Spam

Bitte auf keinen Fall diese Spam beklicken! Einfach löschen und vergessen! Sie kommt nicht von einem E-Mail-Provider. (Ja, ich wiederhole mich.) Das behauptete Problem liegt nicht vor. Jeder kann diese Spam bekommen! Es handelt sich offenbar um einen Phishing-Versuch, vielleicht sogar um etwas wesentlich Übleres.

Dear sag (at) ich (punkt) net

„Liebe Mailadresse“ ist immer eine gute Anrede!

We noticed your e-mail account has almost exceed it’s limit. And you may not be able to send or receive messages any moment from now

Ihr sendet zwar mit gefälschter Absenderadresse aus der Domain admin (punkt) com und habt nichts mit dem Server zu tun, auf dem eure Opfer ihre Mail empfangen, aber ihr wollt wissen, wie viel Platz das Mailpostfach dort belegt. Dafür behauptet ihr in einem hübschen Bildchen, es seien 1969 MiB von verfügbaren 2000, so richtig gucke mal mit Balken, der kaum noch Platz hat.

Your E-mail Account will be closed if you fail to increase Storage capacity Kindly Click here [sic!] to increase your storage capacity by 30.00GB Free..

Die Lösung, die ihr dafür vorschlagt, ist nicht etwa, Platz zu schaffen, indem nicht mehr benötigte Mails gelöscht werden – denn zwei GiB sollten selbst für die Korrespondenz eines neurotischen Zwangsschreibers ausreichend sein¹ – sondern klicki klicki in eine Spam zu machen. Auf den Text „Click here“, den man wirklich nur in Spams und unerwünschter Reklame liest, weil kein fühlendes Wesen so einen dummen Technosprech schreiben würde. Das wird auch nicht besser, wenn ihr mechanonett „kindly“ davor schreibt, dann aber das Wichtigste „vergesst“, nämlich, diesen Text auch noch zu verlinken.

Macht aber nichts, habt ihr euch gesagt, dann tippen wir eben nochmal „Click here“, diesmal aber mit einem Link.

Click here to add up free 20GB storage.

Großes Kino aus einem kleinen Gehirn!

Natürlich geht der Link nicht in die Domain, in der die Empfänger ihre Mail empfangen. Die „Reise“ geht stattdessen in die Domain turbolinktar (punkt) info, und der Link funkt über einen URI-Parameter zurück, dass die Spam angekommen ist und welche Mailadresse der Empfänger hatte.

Erstaunlicherweise funktioniert der Phishzug noch nicht einmal. Die Domain turbolinktar (punkt) info existiert zwar (und sie ist sogar alt), sie wird aber zurzeit zu keiner IP-Adresse aufgelöst. Das sieht ein kleines bisschen danach aus, als hätte ein Hosting-Provider, der die kriminellen Machenschaften dieses Packs mitbekommen hat, die Notbremse gezogen. Leider bedeutet das nicht, dass das Phishing auf E-Mail-Konten (denn genau darum scheint es sich hier zu handeln) nicht schon in einer halben Stunde über einen anderen, flugs angemieteten Server irgendwo in der Welt wieder läuft.

Ach ja, wenn man mit dem Klicken nicht schnell macht…

If not gotten from you in the next 24 hours, We shut down your E-mail Account,

…wird übrigens der Mailaccount plattgemacht. Nur, damit man auch nicht lange überlegt. Nichts macht einem Spammer nämlich so viel Sorge wie die Vorstellung, dass ein „an sich geeignetes“ Opfer durch einfaches Nachdenken bemerkt, wie dumm und dünn der Bullshit in der Spam ist. Und deshalb hetzen Spammer gern, insbesondere beim Phishing. Da wird dann erzählt, dass man nur ganz wenig Zeit hat, um Druck aufzubauen; wohlwissend, dass Stress dumm macht.

Until after proper verification before you can access your E-mail Account Again….!!!

Wow, „verification“ kenne ich sonst immer von den Banken, bei denen ich nicht Kunde bin und „von denen“ ich „E-Mail“ kriege, um mein Konto zu verifizieren. Denen darf ich dann immer alles noch mal sagen, was die Banken längst schon wissen. Aber natürlich nie auf deren eigenen Servern, immer nur an eher obskuren Orten im Internet…

Thanks.
Domain Security 2014/2015.

Wie, nächstes Jahr wollt ihr aufhören? Das wär schön! 😀

Und nun noch etwas ganz Wichtiges!

Da die Website der Spammer zurzeit nicht existiert, weiß ich nicht, worum es wirklich ging. Es scheint mir aber sicher, dass es sich um Phishing handelt, mutmaßlich auf E-Mail-Passwörter (und damit vor allem auch auf Leute, die für viele verschiedene Dienste immer wieder das gleiche Passwort benutzen).

Bitte, achtet immer darauf, wo ihr eure Passwörter eingebt!

Ein Passwort ist eine Sicherheitsmaßnahme, die nur funktionieren kann, wenn das Passwort geheimgehalten und nur dort verwendet wird, wo man sich mit diesem Passwort identifiziert. Deshalb sollte man bei jeder Passworteingabe besonders aufmerksam sein und sich immer vor der Eingabe vergewissern, dass man das Passwort wirklich dort verwendet, wo man sich mit diesem Passwort identifiziert. Bei einem Webdienst kann man dies etwa tun, indem man in die Adresszeile seines Browsers schaut.

Diese Vorsicht ist der einzige und wichtigste Schutz gegen den Missbrauch von Zugangsdaten. Sobald dieses Passwort einem Dritten mitgeteilt wurde, ist es kompromittiert.

Bitte seid so vorsichtig! Wenn diese Vorsicht mit einem klug gewählten Passwort kombiniert wird, das in keinem Wörterbuch zu finden ist, keinen Namen und kein Geburtsdatum enthält, das im günstigsten Falle eine völlig sinnlose Zeichenfolge ist, dann ist viel für die Sicherheit im Internet getan. Und das sollte es wert sein.

Danach stellt sich nur noch eine Frage: Ist mein Passwort sicher genug? 😉

Danke, M., dass du mir das weitergeleitet hast.

¹Zum Vergleich: Unser täglich Spam ist ein Blog, das seit beinahe achteinhalb Jahren nahezu täglich mit Text befüllt wird. Es enthält ferner Leserkommentare. Das Blogsystem speichert bei Korrekturen auch die vorherigen Versionen, und ich lösche die im allgemeinen nicht. Der gesamte Datenbestand – mit technischen Zusatzdaten wie Schlagwörtern, Kategorien, Metadaten aller Art – in der Datenbank umfasst in diesem Moment 21,1 MiB, dazu wurden 153 MiB weitere Daten (hauptsächlich Bilder) hochgeladen. Wenn ich für dieses Blog „nur“ zwei GiB zur Verfügung hätte, dann hätte ich in diesen achteinhalb Jahren lediglich ein Zehntel davon belegt. Kein Mensch bekommt leicht ein Gibibyte voll! Es ist verdammt viel Platz!

Aus aktuellem Anlass: mTAN-Phishing

Dienstag, 23. Juni 2015

Ein aktueller Hinweis auf einen Artikel bei Heise Online – ich selbst habe die Spam noch nicht gesehen und kann mir gut vorstellen, dass es sich um eine personalisierte¹, „gut“ gemachte Spam handelt, die vor allem Kunden zu Gesicht bekommen:

mTAN-Trojaner hat es erneut auf Android-Nutzer abgesehen

Gefälschte E-Mails im Namen der Postbank machen aktuell die Runde und fordern Nutzer dazu auf, eine SSL-Zertifikat-App zu installieren

Das ist mal etwas deutlich anderes als „Bestätigen sie ihre Information weil… ähm… wissen schon, wegen der Sicherheit“ und der Aufforderung, einer „Bank“ auf einer obskuren Website alles noch einmal zu sagen, was die Bank schon längst weiß.

Ich kann mir kaum vorstellen, dass diese Form des Phishings erfolgreich sein könnte, aber wenn ich nur etwas länger drüber nachdenke, gilt das für beinahe jeden Betrug, den ich jeden Tag zu Gesicht bekomme. Leider fällt immer wieder jemand darauf herein.

Deshalb noch einmal ganz klar für jeden Menschen zum Mitschreiben, Merken und Mitteilen: Wenn ihre Bank sie in einer E-Mail dazu auffordert, eine App für ihr Smartphone oder Tablet aus einer unbekannten Quelle zu installieren, rufen sie sofort den Kundendienst ihrer Bank an und fragen sie so deutlich und genervt wie nur irgend möglich, was die Technik-Spezialexperten bei ihrer Bank geraucht haben, um diese Idee zu entwickeln! Vielleicht bekommen sie ja etwas von diesem tollen Kraut ab… 😉

Etwas weniger flappsig gesagt: Wenn sie wirklich Kunde bei einer Bank sind, die allen Ernstes von ihnen einfordert [!], dass sie aus Sicherheitsgründen [!!] Apps für Smartphone und Tablet aus unbekannter Quelle [!!!] installieren, um „Online-Banking“ betreiben zu können [!!!!], dann wechseln sie sofort fristlos die Bank und stellen sie ihrer jetzigen Bank sämtliche ihnen dabei entstehenden Kosten in Rechnung² und überlegen sich schon einmal in aller Ruhe eine Schadenersatzforderung für den sonstigen ihnen entstehenden Aufwand! Es handelte sich bei einem solchen Schritt nur um eine Maßnahme zum Selbstschutz vor den Folgen der Organisierten Kriminalität im Internet. Die Bank, bei der sie Kunde sind, setzte ihre Sicherheit nämlich grob fahrlässig aufs Spiel, und sie hätte damit jede Vertrauensgrundlage für irgendein Vertragsverhältnis zerstört.

Ich hoffe aber, dass kein wirkliches Kreditinstitut jemals auf eine dermaßen dämliche, solches Phishing geradezu mit dem Megafon herbeirufende und den Kriminellen offen zuarbeitende Idee käme. Und deshalb sind sie vermutlich gut beraten, solche Spam einfach unbesehen zu löschen, genau so, wie auch die anderen Phishing-Spams.

Ich muss allerdings eingestehen, dass die meisten Banken noch nicht einmal dazu bereit sind, ihre E-Mail digital zu signieren, so dass die Kunden überhaupt erst die Möglichkeit hätten, den Absender und den unveränderten Inhalt einer E-Mail „der Bank“ zu überprüfen. Und das, obwohl diese defensive Maßnahme, die jedes Phishing erschwerte, im Betrieb keinen Cent Geld kostete, in der technischen Einrichtung aus der Portokasse bezahlbar wäre und die gesamte dafür erforderliche Technik kostenlos und frei zur Verfügung stünde. Von daher würde mich auch eine weitergehende, grob fahrlässige Dämlichkeit bei einigen Banken nicht überraschen. Vielleicht sollten sie das ihrer Bank auch mal deutlich mitteilen. Damit es besser wird. Damit es weniger Arbeit für die Kriminalpolizei gibt. Damit es weniger Geldwäsche über fremde Konten gibt. Damit es weniger Betrug gibt. Damit weniger Opfer der Internet-Kriminalität ihre Geschichte bei der Polizei oder gar vor einem Untersuchungsrichter erklären müssen, weil sie als Kontoinhaber ins Visier der Ermittler geraten sind. Für die Bank kostenlos. Für alle anderen Menschen – ja, fast jeder kann vom Betrug betroffen sein – eine Verbesserung des Lebens.

Auf diesem trüben Hintergrund würde es mich nicht wundern, wenn diese interessante (und für mich neue) Form des Phishings darauf zurückginge, dass einige Banken ihren Kunden sehr ähnliche Zumutungen aufbürdeten.

¹Nach den diversen Datenlecks der letzten Jahre haben die Verbrecher sehr viel Material, um sehr gezieltes Phishing zu machen, wenn sie wollen.

²Dies versteht sich als lebenspraktischer Ratschlag, der dem „gesunden Menschenverstand“ folgt, nicht als juristische Beratung.