Diese Mail ist keine Spam – aber sie ist so unterirdisch dumm, dass sie mir eine deutliche Erwähnung wert ist. Warum diese Mail so unterirdisch dumm ist, wird im Verlaufe des Textes hoffentlich jedem klar werden.

Die (im Falle einer Spam natürlich mit geringem Aufwand beliebig fälschbare) Absenderadresse ist customer (underline) research (underline) eu (at) paypal (punkt) com. Auf die Besprechung der Mailheader verzichte ich vollständig, weil schätzungsweise 95 Prozent der Empfänger dieser Mail das Wort „Mailheader“ noch nie gehört haben, wenn sie diese… ähm… besondere Kommunikationsleistung in einem Webmailer genießen.

Hallo, Vorname Nachname!

Anmerkung: Der Name ist korrekt. Das „Hallo“ ist wörtlich zitiert, das ist wirklich die in der Mail verwendete, geschlechtsneutrale Anrede. Spam mit namentlicher Anrede ist leider alltäglich geworden, nach diversen Datenlecks auch renommierter Websites selbst bei Menschen, die eher vorsichtig mit ihren Daten umgehen.

Wir möchten für Sie noch besser werden. Deshalb führen wir in regelmäßigen Abständen Umfragen unter unseren Kunden durch.

Nach Beendigung der Umfrage nehmen Sie automatisch an unserer Verlosung teil und haben die Chance 1.000 EUR zu gewinnen.

Anmerkung: Jeder gute Phisher könnte auf die gleiche Idee für seine „Story“ kommen. Verschenktes Geld ist eine begehrte Ware, die Empfänger einer Mail oft in der kriminell wünschenswerten Weise dumm macht. Dass es so viel schlechtes Phishing gibt, bedeutet leider nicht, dass es nicht auch einmal in „gut“ durchgeführt werden kann.

Zur Teilnahme an der Umfrage klicken Sie einfach auf diesen Link:
https://www.paypal-research.com?id=xxxx
damit sind Sie auch gleich automatisch bei der Verlosung dabei.

Anmerkung: Der Link geht nicht in die Domain von PayPal. Die verlinkte Seite ist ohne JavaScript nicht verwendbar. Einem leidlich sicherheitsbewussten Nutzer stellt sie sich inhaltsleer und fragwürdig dar.

Jeder Phisher, der sich als PayPal ausgibt, würde ebenfalls einen Link auf eine Webseite legen, die sich nicht in der Domain von PayPal befindet.

Das einzige, was hier bei einer typischen Spam ungewöhnlich wäre, ist die Verwendung von HTTPS. Es wird ein auf PayPal Inc. ausgestelltes Zertifikat von VeriSign verwendet. Es waren auch schon auf Google ausgestellte Zertifikate „im Umlauf“. TLS ist kaputt und in keiner Weise mehr dazu geeignet, Vertrauen darin herzustellen, dass eine Website von einer bestimmten Person oder Unternehmung betrieben wird. Und dieses kaputte Verfahren ist bis jetzt der einzige Hinweis darauf, dass es sich hier um etwas anderes als… sagen wir mal… eine Phishing-Spam handeln könnte.

Vielen Dank für Ihre Hilfe.

Ihr PayPal-Team

Anmerkung: So eine „Grußformel“ und so eine „Unterschrift“ könnte sich jeder dahergelaufene Nachwuchs-Phisher ausgedacht haben. Ich lese so etwas dermaßen häufig, dass ich es schon für ein Spam-Erkennungszeichen halte. Dieses Blogposting wurde übrigens vom Kaiser von China verfasst.

PayPal hat das unabhängige Marktforschungsunternehmen Marketing and Planning Systems beauftragt, diese Online-Umfrage unter seinen Mitgliedern durchzuführen. Wenn Sie Fragen bezüglich der Rechtmäßigkeit dieser Umfrage haben, wenden Sie sich bitte an
customer (underline) research (underline) eu (at) paypal (punkt) com.

Anmerkung: Die Angabe einer Mailadresse, an die man antworten soll, ist ansonsten ein typisches Zeichen dafür, dass der Absender eine E-Mail gefälscht ist. In diesem Fall stimmt die angegebene Adresse mit der Absenderadresse der Mail überein, so dass diese Angabe nicht einmal nötig gewesen wäre. Solche überflüssigen Angaben habe (vermutlich nicht nur) ich relativ häufig in Spams aller Art, und sehr selten in echter Kommunikation.

Die offiziellen Teilnahmeregeln für die Verlosung können Sie abrufen, indem Sie hier klicken:
https://www.paypal-research.com/Surveys/PPResearch/PP_SurveySweeps_DE.html

Anmerkung: Die Teilnahmeregeln für eine „Verlosung“ von PayPal befinden sich nicht in der Domain, in der PayPal seine Website hostet.

Bitte beachten Sie, dass PayPal niemals persönliche Daten (Kennwort, Kreditkarten-/Kontonummern u. ä.) per E-Mail anfordert.

Anmerkung: Phisher tun dies in vielen Fällen auch nicht. Sie legen stattdessen einen „Klickmich-Link“, der nicht in die Domain der Website von PayPal führt. Dort gibt es dann eine Seite, die wie eine Seite von PayPal aussieht – und auf der dann Menschen zur Eingabe von Daten verleitet werden (und in gar nicht so seltenen Fällen auch noch Schadsoftware klandestin installiert bekommen, wenn sie einen anfälligen Browser, anfällige Browser-Plugins oder ein anfälliges Betriebssystem verwenden). Und ich habe genau den gleichen Satz auch schon in Phishing-Mails gelesen. Das gleiche gilt für…

Erfahren Sie, wie Sie Ihr Konto schützen können: https://www.paypal.com/de/securitytips

…den Link auf die – übrigens für PayPal-Nutzer wirklich lesenswerten – Sicherheitshinweise.

Diese Kontaktaufnahme erfolgt ausschließlich zu Marktforschungszwecken. Wenn Sie dies nicht ausdrücklich genehmigt haben, werden wird [sic!] aufgrund Ihrer Teilnahme an dieser Studie nicht erneut Kontakt zu Ihnen aufnehmen. Sämtliche erfassten Informationen sind vertraulich und die bereitgestellten Informationen werden ausschließlich im Rahmen der Datenschutzrichtlinien von PayPal verwendet, die Sie unter der folgenden URL finden:
https://www.paypal.com/de/privacy

Anmerkung: Jede gute Spam kommt mit einer guten Geschichte – und oft eben auch mit kleinen Verschreibern, die auf mangelnde Sorgfalt hinweisen, und zwar vor allem zum Ende des Textes hin, wenn es nicht mehr um die beabsichtige kriminelle „Nummer“ geht, sondern um die Simulation von Sinnhaftigkeit und Seriosität und um die textmengenmäßige „Aufplusterung“ einer dünnen Geschichte.

Bitte melden Sie sich bei Ihrem PayPal-Konto an, klicken Sie auf das untergeordnete Register „Mein Profil“, und klicken Sie in den Kontoinformationen auf den Benachrichtigungslink, um Ihre Benachrichtigungseinstellungen zu ändern. Es kann bis zu zehn Tage dauern, bis Änderungen in unseren Mail-Einstellungen umgesetzt werden. PayPal verkauft und vermietet keine personenbezogenen Daten an Dritte. Weitere Informationen über die Sicherheit Ihrer Informationen finden Sie in unsren Datenschutzrichtlinien unter
https://www.paypal.com/de/privacy.

Anmerkung: Das ist die erste Textstelle, die nicht nach einer guten Phishing-Mail aussieht – denn ein Phisher hätte hier einen Link auf eine Login-Seite gesetzt. Ein halbwegs problembewusster Mensch, der sich nicht von Betrügern abziehen lassen will, kommt aber nicht so weit, weil er schon mehrere unwiderstehliche Zuckungen im Löschfinger hatte.

Diese PayPal-Benachrichtigung wurde an to [sic!] n.n. (at) n.n. (punkt) de, da Ihre E-Mail-Einstellungen auf den Erhalt von Kundenfeedback-Umfragen eingestellt sind. Klicken Sie zum Abbestellen hier:
www.paypal.com/DE/cgi-bin/webscr [… ID entfernt]

Anmerkung: Wer der Empfänger dieser E-Mail ist, habe ich auch am Empfängerfeld im Mailclient sehen können – die Angabe ist also redundant und ziemlich sinnbefreit. Die benannte Einstellung wurde vom Empfänger dieser Mail niemals bewusst vorgenommen, und dort sind auch seit etlichen Jahren keine derartigen E-Mails angekommen, so dass davon auszugehen ist, dass diese Einstellmöglichkeit wohl erst vor kurzem hinzugefügt wurde und standardmäßig… ähm… auf den für PayPal erwünschtesten Stand gebracht wurde. Wenn man nach dieser mutmaßlichen kleinen Eigenmächtigkeit von PayPal eine E-Mail erhält, die auch auf dem zweiten Blick kaum von einer Phishing-Mail zu unterscheiden ist, glaube ich kaum, dass bei irgendeinem Menschen ein Wunsch nach der Wiederholung eines solchen Erlebnisses besteht.

© 2014 PayPal Inc. Alle Rechte vorbehalten. PayPal hat seinen Unternehmenssitz unter der Anschrift Suntec
Tower 5, 5 Temasek Boulevard #09-01, Singapore 038985

Anmerkung: „Geistiges Eigentum“ für eine massenhaft versendete Reklame-E-Mail zu deklarieren, ist so strunzdumm-grenzbescheuert, dass mir immer wieder die Worte fehlen. Möchte mich jetzt vielleicht noch jemand von PayPal dafür verklagen, dass ich darauf hinweise, dass es sich bei dieser verdächtig nach Spam aussehenden E-Mail nicht um eine Spam handelt?

Weitere Anmerkung zu einem hier gepflegten „Standard“: Die Mail ist nicht digital signiert. Der wirkliche Absender könnte – wie gesagt, einen Blick in die Mailheader behandle ich hier nicht – aus Nutzersicht jeder sein. (Die Angabe des Servers im Mailheader gibt auch nur etwas mehr Gewissheit, denn Mailserver werden manchmal feindselig übernommen.)

Offener Brief an PayPal

Werte dafür verantwortliche PayPal-Mitarbeiter,

bitte nehmt es mir nicht persönlich, und ich weiß ja auch, die viele Arbeit und man baut auch mal fürchterlichen Mist… aber… wo habt ihr euer Gehirn gelassen, als ihr diese E-Mail formuliert habt?

Jeder Mensch, der auch nur einen Funken Bewusstsein für die typischen Kriminalitätsformen im Internet hat, wird diese Mail nicht zu Ende gelesen und schnell gelöscht haben. Sie ist für den normalen Empfänger nicht von einer gut gemachten Phishing-Mail zu unterscheiden.

Ihr verwendet als PayPal Links in eine Domain, die nicht die Domain der PayPal-Website ist und fordert dazu auf, auf diese Links zu klicken. Das ist ein typisches Erkennungszeichen für Phishing. Die Verwendung von Domains, die irgendwie nach PayPal klingen, ist beim Phishing auf PayPal-Konten gang und gäbe – und nicht nur dort wird mit Domains geblendet.

Ich habe von dieser Mail erfahren, weil mir jemand etwas aufgelöst gesagt hat: „Die Spammer haben jetzt schon meine eigens für PayPal eingerichtete Mailadresse und meinen Namen“. So gut habt ihr den Eindruck einer Phishing-Mail erweckt. Ein technisch unbedarfter, aber angesichts der laufenden Betrugsnummern vorsichtiger Empfänger hält eure Mail sofort für eine kriminelle Spam und verliert diesen Eindruck auch nach dem zweiten und dritten Lesen nicht.

Ich weiß nicht, was der beabsichtigte Zweck eurer Umfrage ist. Aber eins weiß ich: Ihr bekommt gerade eine riesen Liste von Kunden, die auch auf Phishing reinfallen könnten. Und das Beste daran: Ihr macht ihnen gerade völlig klar, dass die Eigentümlichkeiten von Phishing-Mails gar nichts Ungewöhnliches sind, das sofort Verdacht erwecken und zur Löschung der Mail führen sollte. Ganz im Gegenteil: Mit echten Mails von PayPal sieht es ja genauso aus.

Ein Beitrag zur Erhöhung der Kontensicherheit bei euch ist das nicht. Und „sicherererer“ wird dadurch nur das Geschäft von Gestalten, die in meinen Augen besser ganz sicher in einer Gefängniszelle untergebracht wären, wo sie nicht mehr betrügen können.

Kurz gesagt: Ihr handelt unverantwortlich und dumm.

Und das solltet ihr in Zukunft nicht mehr tun.

Nennt mir bitte einen einzigen, vernünftigen Grund, warum eine von euch in Auftrag gegebene und betriebene Umfrage nicht in eurer gewöhnlich verwendeten Domain gemacht werden kann! Einen einzigen nur! Sind eure Festplatten voll? Streikt euer Webserver, wenn er Umfragen machen muss, weil er dafür nicht bezahlt wird? Habt ihr Verstopfungen in der Datenleitung? Oder wollt ihr einfach nur eure Kunden zur Unvorsicht in der Reaktion auf angebliche Mails „von PayPal“ erziehen? Und wenn ihr schon aus irgendeinem Grund – zum Beispiel, um die Umfrage vom eigentlichen Geschäftssystem abtrennen zu können – eine andere Domain dafür nehmt, warum im Namen des heftig hackenden Henkers richtet ihr nicht einfach eine Subdomain von paypal (punkt) com ein? Habt ihr etwa keinen Admin, der weiß, was so eine Subdomain ist? Muss ich euch etwa die „Geheimnisse“ des DNS erklären?

Ihr habt mir heute wirklich ein bisschen das Gruseln gelehrt.

Und, was noch viel schlimmer als mein letztlich doch eher irrelevantes Entsetzen ist: Ihr habt einen kleinen Beitrag dazu geleistet, dass ein besseres „Biotop“ für Phisher entsteht, und zwar zum Nachteil eurer naiveren Kunden. Wie groß der ungefähre Schaden durch diese Form der Kriminalität ist, fragt bitte bei euch selbst im Hause – im Controlling wird man davon einen gewissen Überblick haben.

Ich wünsche euch für zukünftige derartige Umfragen etwas mehr Geschick bei der Vorgehensweise!

Euer ziemlich erschrockener
Nachtwächter