Bei mir ist diese kriminelle Spam vom angeblichen DHL-Kundendienst noch nicht angekommen, aber sie scheint recht gefährlich zu sein:
Zurzeit sind Spam-Mails in Umlauf, die vorgeblich vom DHL-Kundenservice stammen und den Empfänger auffordern, seinen Packstations-Account dauerhaft zu registrieren. Die dort angegebene Webseite sieht auf den ersten Blick wie eine echte Seite von DHL aus […]
Weiterlesen bei heise online…
Der Text der Mail wirkt auf mich wenig überzeugend, aber da sich viele Menschen wegen ihrer geringen technischen Kompetenz durch technokratische Sprache beeindrucken lassen, könnte die betrügerische Masche doch sehr gefährlich sein.
Sehr geehrter PACKSTATION-Kunde,
sehr geehrte PACKSTATION-Kundin,
aufgrund der großen Nachfrage des PACKSTATION-Systems sind wir gezwungen dauerhaft inaktive Accounts für neue Kunden freizugeben. Selbstverständlich können Sie auf Wunsch weiterhin Ihre PACKSTATION nutzen. Hierfür ist lediglich ein Login unter
http://www.kundenservice-dhl.de/
nötig, um Ihren Account automatisch dauerhaft zu registrieren.
Generell lässt sich feststellen, dass hier alle Kennzeichen des Phishing sichtbar sind:
- Es fehlt jegliche persönliche Ansprache, obwohl der Empfänger doch „Kunde“ sein soll. Allein dieses Detail ist ein Grund, den Inhalt einer Mail mit der größtmöglichen Skepsis zu lesen.
- Der technische Grund für die Mail ist unsinnig. Eine Datenbank mit Kundendaten wird nicht so voll, dass „inaktive Accounts“ neu verwendet werden müssten. Es wäre auch unter Gesichtspunkten der Datensicherheit schlicht irrsinnig, in dieser Weise vorzugehen, einmal ganz davon abgesehen, welchen Albtraum ein solcher Vorgang für die Grundsätze ordnungsgemäßer Buchführung bedeutet. Typischerweise wird der Kunde technisch über eine (aus Kundensicht unsichtbare) nummerische ID identifiziert, die meist im Bereich bis zu ca. 4 Milliarden liegen kann. Es ist schon recht unwahrscheinlich, dass die deutschen Packstationen derart beliebt sind, dass ein solcher Nummernkreis nicht ausreichen sollte. Wenn dies aber dennoch der Fall sein sollte, wäre es für den Administrator der Datenbank eine Kleinigkeit, diesen Zahlenbereich zu erweitern, ohne dass aus Kundensicht eine Aktion erforderlich wäre oder auch nur eine Änderung bemerkt werden würde.
- Das „dauerhafte“ Registrieren eines registrierten Accounts ist hanebüchen. Der Account ist registriert. Er wird auch nicht gelöscht werden, da die Geschäftsvorgänge, die mit diesem Account verbunden sind, nach den Grundsätzen der ordnungsgemäßen Buchführung nachvollziehbar bleiben müssen.
- Der kalte, technokratische Ton der Mail ist entlarvend. Kein Unternehmen würde seine Kunden so ansprechen und auf jede Hintergrundinformation zu einem derartigen Vorgang – sollte er jemals erforderlich sein – verzichten.
- Für den „Login“ wird kein HTTPS verwendet, die Anmeldedaten sollen unverschlüsselt über das Internet übermittelt werden. Kein größeres Unternehmen würde seinen Kunden ein derartiges Sicherheitsrisiko aufbürden. Ob HTTPS verwendet wird oder nicht, lässt sich an der verwendeten Internetadresse erkennen, diese muss mit
https:// beginnen, wenn es sich um eine gesicherte, verschlüsselte Verbindung handelt. Nähere Informationen können in der Dokumentation des Browsers und an vielen Stellen im Internet nachgelesen werden.
Es reicht also tatsächlich schon ein kurzes Nachdenken, um zu erkennen, was es mit dieser kriminellen Mail auf sich hat. Das gleiche gilt für jeden anderen Versuch des Phishings. Wenn in einer unpersönlich formulierten Mail zum Login auf irgendeiner Website einer Bank, eines Unternehmens oder eines sonstigen Webdienstes aufgefordert wird, der Geschäfte mit Geld oder geldwerten Gütern ermöglicht, sollte Alarmstufe Rot herrschen und in aller Ruhe und Besonnenheit gelesen werden. Niemals sollte man sich von der Absenderadresse einer Mail verblenden lassen, diese ist beliebig fälschbar. Niemals sollte man sich von einer plausibel klingenden Internet-Adresse für eine solche Anmeldung täuschen lassen, denn jeder kann sich eine Domain registrieren.
Im Zweifelsfall einfach erstmal nichts tun! Keine Chance den kriminellen, mafiös organisierten Phishern. In diesem speziellen Fall ist auch das Erstatten einer Strafanzeige wegen Betruges in Erwägung zu ziehen, da der Registrar der verwendeten Domain ermittelbar ist und es möglich ist, dass die Verbrecher bei ihrem Werk eventuell genug Spuren hinterlassen haben, um dingfest gemacht werden zu können. Das Erstatten einer Strafanzeige ist sehr einfach und lässt sich gut mit einem kleinen Spaziergang zur nächsten Polizeiwache kombinieren. Und wer auf dieses Phishing hereingefallen ist, sollte gleich jetzt sein Passwort ändern, bevor ein Schaden entsteht.
Auch 2010 gilt: Keine Chance den Phishern!