Wenn man auf einem gut gesicherten System bei einigen Spams mal anschaut, wo sie einen hinlocken wollen, kann man manchmal eine Menge Spaß haben – obwohl einem meistens das Lachen gründlich vergeht.

Da hatte ich etwa heute die folgende Phishing-Mail, die mir mitteilte, dass ich meine Bestellung bei Amazon erfolgreich widerrufen habe – obwohl ich doch gar nichts bei Amazon bestelle:

Dear Customer,

Your order has been successfully canceled. For your reference, here`s a summary of your order:

You just canceled order #067-439275-002124

Status: CANCELED

ORDER INFORMATION
Sold by: Amazon.com, LLC

Because you only pay for items when we ship them to you, you won`t be charged for any items that you cancel.

Thank you for visiting Amazon.com!

Amazon.com
Earth`s Biggest Selection
http://www.amazon.com

Nun, ich habe bei dieser Mail wirklich erwartet, dass der Link mit dem Text ORDER INFORMATION auf eine der typischen Phishing-Seiten geht, mit denen die Account-Informationen abgephisht werden sollen. Allerdings war ich ein bisschen zu spät dran (die Spam war gut 12 Stunden alt), und statt der Phishing-Seite gab es nur einen Link mit dem auffordernden Text „Click here“ – das habe ich natürlich auch gleich getan, immer noch in Erwartung der Phishing-Site.

Aber inzwischen waren dort nicht mehr die Phisher aktiv, sondern die „Canadian Pharmacy“, die auf der englischsprachigen Startseite allerlei Pillen für den Pimmel anbot.

Doch das war nicht alles, denn offenbar wurde von den Spammern gerade die nächste Aktion vorbereitet, und während ich mich ein wenig durch diese Dreckssite der Spammer klickte, wurde die Sprache der Website auf Deutsch umgestellt. Offenbar sollte gleich die Spamwelle für deutschsprachige Opfer herausgehen. Die Grafik mit dem Text „Canadian Pharmacy“ wurde gegen die Grafik mit dem Text „European Pharmacy“ ausgetauscht, die Dollarpreise verwandelten sich in Europreise und die Texte wurden beim Klicken auch immer deutscher. Na ja, sie wurden zu etwas, was für die Betrüger vielleicht zunächst deutsch aussah, es aber nicht so wirklich ist. „Medicin Navn“ heißt auf Deutsch nun einmal „Name des Medikamentes“, „Lægemiddel Brug“ sagte man hier eher als „Anwendungsbereiche“, auch „Hvordan Du Tager“ ist als „Hinweise zur Einnahme / Anwendung“ und „Medicin klasse og mekanisme“ als „Wirkstoff und Wirkmechanismus“ in Deutschland etwas verständlicher, weil man hier einfach meist nicht so gut Dänisch spricht. Doch für die moralisch und cerebral verrotteten Internet-Kriminellen sieht das vermutlich genau so fremdartig wie Deutsch aus, und deshalb haben die ihren Fehler zunächst nicht bemerkt. Na ja, fünf Minuten später war es richtig.

Vielleicht bis auf die Produktbeschreibungen, die waren noch englisch. Aber das wird auch gerade, und gleich dürfte sich eine Spamwelle für die neue Verwendung der Domain (sie heißt weightbreezy (punkt) com und wurde vor ein paar Tagen schon für Schlankheitspillen benutzt) über deutsche Mailempfänger ergießen. Auch die Produkte werden dann wohl mehr an den deutschsprachigen Markt orientiert sein und wohl auch etwas richtiger sortiert sein, denn so ein „Wachpflaster“…

…das übrigens mit dem Wirkstoff Koffein arbeitet, ist unter „Schlaf-Beihilfe“ doch ein bisschen falsch einsortiert worden.

Ich trinke gleich übrigens eine Schlaftasse Kaffee. Lecker.

Die ganze Geschichte ist ein schönes Beispiel dafür, dass die verschiedenen Betrugsnummern im Internet von gar nicht so verschiedenen Leuten durchgezogen werden. So einen Umbau einer Website für einen neuen Betrug habe ich noch nie so „live“ mitbekommen. Interessant finde ich, dass diese Spammer technisch so inkompetent zu sein scheinen, dass sie diesen Vorgang nicht automatisieren. So etwas immer wieder und mit allen damit verbundenen Fehlerquellen manuell zu machen, würde mir spätestens beim dritten Mal stinken. Aber Spammer sind eben nicht nur asozial und kriminell, sondern auch dumm. Die wissen vermutlich gar nicht, wie sich so etwas automatisieren lässt.