Aber ich habe gar kein Kundenkonto. Und schon gar nicht…
Sehr geehrte Kundin, sehr geehrter Kunde,
…bei einem so genannten „Bitcoin-Marktplatz“, der hinter der Made in Germany auch noch ein Ausrufezeichen setzt. Ich benutze keine Bitcoin. Aus ethischen Gründen.
Das hier ist also eine Spam, die wahllos an alle möglichen Mailadressen versendet wird. Kostet ja auch fast nichts… dem Spammer kostet es zumindest nichts. Dem Empfänger kostet jede Spam ein bisschen seiner begrenzten Lebenszeit. Spammer sind eben asozial.
Am 01. Januar 2023 ist EU-Weite die MiCA („Marktes in Crypto Assets“) Richtlinie in Kraft getreten.
Seltsam, dass die Web-Suchmaschine meines Vertrauens davon gar nichts weiß. Aber dafür hat der Absender auch Markets falsch geschrieben. Der ist bestimmt ein besserer Auskenner! Vor allem scheint er seiner deutschen Rechtschreibprüfung unbegrenzt zu vertrauen¹. 😁️
Auch weiterhin bleibt alles rund um Bitcoin so gut wie unreguliert.
Um dem neuen Gesetz zu entsprechen, mussten wir Änderung an unseren internen Systemen vornehmen, unter anderem wird eine verbesserte Zwei-Faktor-Authentifizierung Pflicht.
Das mit der Pflicht ist natürlich auch nicht wahr, aber es wäre begrüßenswert, wenn es stimmte.
Hierfür haben wir, das neue SHA1-Fingerprint-System entwickelt.
Ihr habt also SHA1 entwickelt? Bwahahahahaha! 🤣️
Und SHA1 ist „neu“? Und nicht seit mindestens fünfzehn Jahren obsolet, weil es nicht mehr sicher ist? Ihr seid ja richtige Spezialexperten! 🤣️
Wer nicht weiß, was SHA1 ist. Es handelt sich um eine kryptographische Hashfunktion. Das ist eine Art Prüfsumme für Daten aller Art, die so entworfen wurde, dass es schwierig ist, Daten mit einer vorgegebenen Prüfsumme zu erzeugen. Wenn ich zum Beispiel jetzt ein Dokument besitze, das ich als solches noch nicht weitergeben möchte, von dem ich aber für einen späteren Zeitpunkt belegen möchte, dass es wirklich in meinem Besitz ist, bilde ich eine solche Prüfsumme und kann diese Prüfsumme in einem völlig offenen Kanal veröffentlichen:
$ cat geheim.txt | sed 6q Dieser Text ist geheim. Er enthält die ganze Wahrheit über die Weltverschwörung. Ich will ihn nicht weitergeben, möchte aber belegen, dass ich ihn jetzt habe. Deshalb werde ich eine Prüfsumme dafür erzeugen. $ sha1sum geheim.txt 8a49a35af4a88b3de51e600644b6e8ada3ac1daf geheim.txt $ _
Eine gute kryptographische Hashfunktion hat drei Eigenschaften:
- Diese Prüfsumme ist kurz. Ich kann mit einer sehr kleinen Datenübertragung belegen, dass eine möglicherweise sehr große Datei in meinem Besitz ist.
- Das Verfahren ist schnell. Das spielt für meine soeben für diesen Text herbeiphantasierte Anwendung keine große Rolle, aber die Anwendung in der Kryptographie ist ähnlich. Dass es wichtig sein kann, die Integrität von Daten sicherzustellen, sollte ohne weitere Erläuterung einleuchtend sein.
- Es ist sehr schwierig und im Idealfall unmöglich, die Daten so zu verändern oder andere Daten zu verwenden, dass hinterher die gleiche Prüfsumme herauskommt.
Das Problem mit SHA1 ist, dass der dritte Punkt nicht mehr stimmt. SHA1 ist gecrackt. Deshalb verwendet niemand mehr SHA1, der noch bei Troste ist. Es taucht manchmal noch als Altlast auf. In Grusel-Anwendungen, die zwanzig Jahre unter einem feuchten Stein geschlafen haben. 👻️
So, und jetzt zum Vergleich die Erklärung des Autors dieser Mail:
Das SHA1-Fingerprint-System vereint künstliche Intelligenz mit herkömmlicher Technologie und macht unsere Plattform bei gleichbleibendem Komfort noch sicherer.
Die künstliche Intelligenz wird einen digitalen Fingerabdruck erstellen, mit dem wir die Echtheit von Zugriffsversuchen auf Ihr Konto in Echtzeit verifizieren können.
Um Ihren Fingerprint für die künstliche Intelligenz zu trainieren, ist eine Umstellung Ihres Kontos zwingend notwendig.
Au weia, mein Zwerchfell! 🤣️
Übrigens wären diese drei gleichermaßen hirn- wie kenntnislosen Absätze viel weniger lächerlich, wenn sich die Spammer den Verweis auf die „künstliche Intelligenz“ gespart hätten. Kryptographische Hashfunktionen sind ein relativ einfaches Rechenverfahren, das für die praktische Anwendung bestimmte Eigenschaften haben muss, sie benötigen nur wenig Ressourcen auf dem Computer und sind schnell. Nichts von alledem gilt für die Dinge, die heute als „künstliche Intelligenz“ bezeichnet werden. (Meist handelt es sich um angelernte neuronale Netzwerke, deren Funktion man weder verstehen, noch analysieren noch im Falle einer Fehlfunktion einfach entfehlern kann. Wer gut englisch verstehen kann, findet bei 3Blue1Brown eine sehr gute erste Einführung in die Grundlagen maschinellen Lernens, die allerdings technisch schon etwas vertieft ist. Übrigens ist 3Blue1Brown meiner Meinung nach einer der besten Mathematik-Didakten im gegenwärtigen Internet.)
Aber diese Spammer richten sich natürlich an völlig kenntnislose Menschen, die davon keine Anfälle spontaner Heiterkeit bekommen.
Bitte führen Sie die Angleichung für das neue SHA1-Fingerprint-System umgehend bis spätestens zum 17. Januar 2023 durch! Alle Konten, die bis zum Stichtag nicht auf das neue System umgestellt wurden, werden von uns aufgrund von EU Regularien vorübergehend deaktiviert.
Bitte beachten Sie, dass es aufgrund des erhöhten Anfragevolumens an Entsperrungsanträgen zu längeren Ladezeiten als gewohnt kommen kann.
Diese Mail ist natürlich HTML-formatiert, und die scheinbare Linkadresse ist einfach nur ein verlinkter Text. Der Link geht nicht in die Domain bitcoin.de, sondern in die Domain nigmed (punkt) com, die noch nicht auf den Blacklists steht. Von dort gibt es eine relativ komplizierte Weiterleitung, die ich hier nicht so gut analysieren und dokumentieren kann, weil sie abhängig vom verwendeten Browser und vom verwendeten Betriebssystem ist. Ich weiß es nicht genau, aber ich bin mir relativ sicher, dass hier auch Schadsoftware verteilt wird. Auf jeden Fall gilt: Alles, was man dort eingibt, nachdem man in diese dumme Phishing-Spam geklickt hat, geht direkt an Kriminelle.
Ihr bitcoin.de Kundenservice
Und nein, mit bitcoin.de hat diese Spam nichts zu tun.
¹Ich schalte Rechtschreibprüfungen beim Schreiben immer ab, weil ich sie nervig finde, weil sie meinen Schreibfluss stören und weil ich relativ häufig Wörter benutze, die nicht in Standardwörterbüchern enthalten sind und deshalb als Fehler betrachtet werden. Dabei handelt es sich nur nicht nur um meine Ausflüge in den Soziolekt der Unterschicht, sondern auch um Rotwelsch und veraltete Wörter und Formen, die ich aber hübscher finde. Wegen meines Verzichts auf Rechtschreibprüfungen mache ich relativ viele Rechtschreibfehler, vor allem solche, die man auch bei dritten Lesen schlecht erkennt. Das sieht man auch hier auf Unser täglich Spam immer wieder einmal. Aber ich bin der Meinung, dass das rote Unterkringeln von möglicherweise falsch geschriebenen Wörtern ein ganz schlechtes Training ist, weil es die Aufmerksamkeit auf die Fehler lenkt, damit diese sich um so besser einprägen. Was unterstreicht man denn rot? Richtig, das Wichtige und Richtige unterstreicht man sonst rot. Ich glaube allen Ernstes, dass die beklagenswerte Unfähigkeit so vieler Menschen, ihre eigene Muttersprache halbwegs fehlerfrei zu schreiben, auf den ständigen Gebrauch solcher Rechtschreibprüfungen beim Schreiben am Computer zurückzuführen ist. Wer möchte, darf gern über meine Verschrobenheit lachen…
Wer sich für häufig besuchte Websites ein Lesezeichen im Webbrowser anlegt und diese Websites nur noch über das Lesezeichen aufruft, aber niemals, indem er in eine E-Mail klickt, kann keinen vergifteten Link von Betrügern untergeschoben bekommen. Nach dem „Genuss“ dieser Spam hätte man zum Beispiel die Website der Spaßkasse über das Browser-Lesezeichen aufgerufen, sich dort wie gewohnt angemeldet und danach festgestellt, dass einem dort gar keine Hinweise auf die angeblich so dringende Tätigkeit wegen irgendwelcher neuer Gesetze und Verordnungen angezeigt werden. Das in der Spam zusammen mit einem drängelnden „Click here“ behauptete Problem existiert also gar nicht. Wenn man das feststellt, hat man einen dieser gefürchteten Cyberangriffe abgewehrt. So einfach geht das! 🛡️
Eine Bank, die es auch in den Zwanziger Jahren des Einundzwanzigsten Jahrhunderts noch nicht hinbekommt, jede ihrer E-Mails digital zu signieren und ihre Kunden deutlich darüber zu informieren, dass alle E-Mails digital signiert sind und wie man diese digitale Signatur überprüft (gern auch mit einem eigenen Addon für die Mailsoftware, das eine solche Prüfung im Hintergrund automatisch ausführt und das Ergebnis auf eine für Betrüger nicht fälschbare Weise anzeigt, damit auch wirklich jeder Mensch damit klarkommt), kann sich in meinen Augen ihre ganzen Sicherheitsapps, Zusatzgeräte und lustigen Sicherheitsverfahren für die internetbasierte Fernkontoführung¹ in den Allerwertesten stecken! Sie liefert ihre Kunden schutzlos an Trickbetrüger aus, die eine unfassbar primitive, ja, geradezu kindische Methode des Trickbetrugs anwenden: Den Auftritt als „Ich bin deine Bank, und jetzt klick mal“. Kein Wunder, dass Phishing immer noch der häufigste Trickbetrug im Internet ist, obwohl die Masche einen ganz schönen Bart hat.
![LBB -- Wir haben einen ungewöhnlichen Zugriff auf Ihr Konto festgestellt, bitte begründen Sie Ihre Identität und Daten so schnell wie möglich. Andernfalls werden wir Ihr Konto aus Sicherheitsgründen sperren. Der Online-Prozess ist schnell (5 bis 10 Minuten) und ermöglicht es Ihnen, Ihr Konto sofort zu entsperren. [Entsperren Sie ihr Konto] -- 2022, LandesBankBerlin AG.](http://spam.tamagothi.de/wp-content/uploads/2022/11/lbb-450.jpg)
So weit der ganz normale Phishing-Wahnsinn, den ich schon 
