Schlagwortarchiv „PayPal“

Verifizierung Ihres Kontos notwendig

Montag, 25. Dezember 2017

Huch, wie ist denn die durch den Spamfilter geflutscht?

Von: Páypal <info@paypal-deutschland.de>

Natürlich ist der Absender gefälscht. Und natürlich würde PayPal seine eigene Firmierung richtig schreiben. Die Spam wurde auch nicht über das Netzwerk PayPals versendet, sondern über eine IP eines großen US-amerikanischen „Cloud“-Anbieters. Natürlich ist meine Abuse-Meldung schon draußen, aber es dürften auch schon ein paar hunderttausend dieser Spams draußen sein. Da die Dienste mit hoher Wahrscheinlichkeit unter Missbrauch den Identität und der Kreditkartendaten eines anderen Menschen gemietet wurden, ist leider auch in den totalüberwachten USA nicht davon auszugehen, dass die Spammer dingfest gemacht werden und für die nächsten Jahre ein Zimmer mit erfreulich stabilen Gittern in den Fenstern bekommen. Dafür wird der Mensch, dessen Identität missbraucht wurde, eine Menge Ärger haben… und das ist auch der Grund, warum man äußerst sparsam mit kriminell missbrauchbaren persönlichen Daten wie Name, Meldeanschrift und Geburtsdatum umgeht.

Wir helfen Ihnen bei Problemen mit einer Transaktion.

PayPal
Wichtige Kundenmitteilung

Hier geht’s zur Verifikation

Guten Tag,
leider müssen wir Sie auf Grund von Angriffen auf unsere Infrastruktur auffordern Ihre persönlichen Adress- und Zahlungsdaten zu bestätigen.

Bitte achten Sie darauf das Ihre Angaben mit dennen bei uns hinterlegten übereinstimmen. Ansosten besteht die Gefahr das Ihr Konto vorübergehend eingeschränkt wird.

Hilfe Kontakt Sicherheit Gebühren Info-Center PayPal-App herunterladen:
Download on the App Store Download on Google Play

Sicherheitshinweis: Sie erkennen Spoof oder Phishing-E-Mails oftmals schon in der Anrede. PayPal wird Sie immer mit Ihrem Vor- und Nachnamen anschreiben. Mehr zu Phishing finden Sie unter www.paypal.de/phishing.
Diese PayPal-Benachrichtigung wurde an Sie gesendet, weil gammelfleisch@tamagothi.de in Ihren E-Mail-Einstellungen unter „Neues von PayPal“ den Erhalt aktiviert haben. Um diese Einstellungen zu ändern, klicken Sie hier. Änderungen werden innerhalb von zehn Tagen wirksam.

Copyright © 1999-2017 PayPal. Alle Rechte vorbehalten. PayPal (Europe) S.à r.l. et Cie, S.C.A., Société en Commandite par Actions. Eingetragener Firmensitz: 22-24 Boulevard Royal, L-2449 Luxembourg RCS Luxembourg B 118 349.

[Im der Spam steht eine andere Mailadresse als gammelfleisch@tamagothi.de]

Ich fasse mich kurz. Die Mail kommt nicht von PayPal. Das erkennt man ja oftmals schon an der unpersönlichen Anrede „Guten Tag“, wie es der Spammer selbst aus einer originalen PayPal-Mail herauskopiert hat. Warum sollte so ein Verbrecher auch über den weiteren Text in seiner Spam nachdenken, wenn er das Wichtigste schon geschrieben hat? Wenn er nachdenken wollte, könnte er ja auch gleich arbeiten gehen und müsste nicht spammen.

Der Link zur angeblichen „Verifikation“ geht nicht in die Domain von PayPal, sondern ist über Bitly maskiert, damit die Spamfilter…

$ lynx -mime_header http://bit.ly/2BzkaZ9 | grep ^Location
Location: https://paypal.de-security-login-05.trade/script.php
$ _

…nicht die fürs Phishing verwendete Domain mit dem wenig Vertrauen erweckenden Namen de (strich) security (strich) login (strich) 05 (punkt) trade erlernen. Diese Domain wird…

$ whois de-security-login-05.trade | grep ^Registrant 
Registrant Name: WhoisGuard Protected
Registrant Organization: WhoisGuard, Inc.
Registrant Street: P.O. Box 0823-03411
Registrant Street:
Registrant Street:
Registrant City: Panama
Registrant State/Province: Panama
Registrant Postal Code:
Registrant Country: PA
Registrant Phone: +507.8365503
Registrant Phone Ext:
Registrant Fax: +51.17057182
Registrant Fax Ext:
Registrant Email: e717ee1dcf814b2cacf61b6b4b794b86.protect@whoisguard.com
$

…selbstverständlich wieder über einen bei Verbrechern sehr beliebten Dienstleister aus dem sonnigen Panama völlig anonym betrieben. Was immer man dort an Daten eingibt, geht direkt an eine Betrügerbande.

Wie man sich vor Phishing schützen kann, obwohl PayPal auch weiterhin alles dafür tut, dass seine Kunden leicht auf Phishing hereinfallen können? Das ist eigentlich ganz einfach: Niemals in eine E-Mail klicken, und der Phisher hat keine Chance. Einfach im Webbrowser ein Lesezeichen (Nutzer von Microsoft-Browsern lesen hier: einen Favoriten) für die Homepage von PayPal anlegen. Wenn eine solche E-Mail ankommt, nicht hineinklicken, sondern die Website direkt aufrufen und sich dort anmelden. Wichtige Hinweise werden auch auf der Website direkt nach der Anmeldung angezeigt, und das gilt nicht nur für PayPal. Und wenn es dort keine angezeigten Probleme gibt, hat man mit seiner Vorsicht einen kriminellen Angriff abgewehrt und sich selbst eine Menge Ärger und Lauferei erspart, und möglicherweise sogar den Verlust einiger tausend Euro. Das sollte es doch wert sein… 😉

Also: Niemals in eine E-Mail klicken, und Phishing ist keine Gefahr mehr.

Verifizierung Ihres Paypal Kontos notwendig

Montag, 20. November 2017

Aha, die Kriminellen brauchen mal wieder ein paar Konten anderer Leute für ihre „Geschäfte“. Denn PayPal (oder eine beliebige andere Bank) hat nichts davon, wenn ich lauter Daten noch einmal eingebe, die dort schon längst bekannt sind. Was soll das „verifizieren“?

Von: PayPal <info@pp-checkout04.trade>

Ja, schon klar: Der Absender sieht voll nach PayPal aus! Wenn man schon den Absender fälscht, könnte man es auch überzeugend machen… wenn man ein Gehirn hätte. Da hilft dann auch das „liebevoll“ nachgebaute Layout nicht mehr:

Ich habe diese Spam auch mit Umlauten, die nicht aussehen, als seien sie missverstandenes UTF-8, weil der Spammer das falsche Encoding angegeben hat. Natürlich kann ich dem Reiz eines im Gestaltungseifer übernommenen PayPal-Layouts mit schweren technischen Mängeln beim Text der Mail nicht widerstehen. Für die folgenden Zitate nehme ich allerdings eine Spam mit korrekten Umlauten, denn nur die erste Generation dieser heutigen Flut hat den Fehler gehabt. Das mit der Sorgfalt haben die Spammer mal wieder nicht so, und deshalb testen sie nicht, bevor sie ihre Strokelskripten auf ein wehrloses Internet loslassen. Sonst könnten die Spammer ja auch gleich arbeiten gehen.

Bitte niemals vom Layout beeindrucken lassen! Jedes Kind kann das Layout der HTML-formatierten Mail eines beliebigen Unternehmens oder einer Bank übernehmen und da einen anderen Text reinsetzen. Das einzige, was Gewissheit über den Absender einer E-Mail geben könnte, wäre die digitale Signatur dieser Mail, die man auch beim Empfang überprüft. Leider sind weder Banken noch Klitschen wie PayPal daran interessiert, den Phishing-Sumpf auszutrocknen, indem sie ihre E-Mail digital signieren und ihre Nutzer darüber informieren und durch regelmäßige Information dazu anleiten, ein solches Sicherheitsmerkmal im Alltag sinnvoll zu nutzen. Das würde übrigens noch nicht einmal Geld kosten und wäre nicht mit großem Aufwand verbunden. Es wird aus reinem Desinteresse unterlassen. Die einzigen, deren Leben dadurch einfacher wird, sind Verbrecher aller Art. Stattdessen lässt man sich bei den Banken und bei PayPal von Werbefirmen Vorlagen für HTML-formatierte Mail erstellen, die dann einen Trickbetrug oder ein Phishing psychologisch noch weiter vereinfacht, indem das Layout von irgendwelchen Halunken übernommen werden kann. Das ist ganz schön dumm und kundenverachtend.

So weit, so schlecht… 🙁

Nun zum Text:

Aktuelle Kundenmitteilung! – Ihre MIthilfe [sic!] ist erforderlich.

Ach, eine Mail ist eine aktuelle Mitteilung. Da wäre ich nicht drauf gekommen. Und wer eine Mail schreibt, will etwas von mir. Da wäre ich ebenfalls nicht drauf gekommen.

Datum: 20.11.2017

Das Datum steht im Mailheader und ist deshalb im Text der Mail eine überflüssige Angabe, die niemanden nützt.

Guten Tag,

Als angeblicher „Kunde“ würde ich immer mit meinem Namen angesprochen.

leider müssen wir Sie auf Grund von Angriffen auf unsere Infrastruktur auffordern Ihre persönlichen Adress- und Zahlungsdaten zu bestätigen.

Aha, das „PayPal“ aus der hirnverhungerten Phantasie der Spammer hat also ein Problem, das es zu meinem Problem machen will. Was war denn das für ein Angriff? Hat sich „PayPal“ einen Erpressungstrojaner gefangen, der die gesamte Datenbank gefressen hat, so dass sämtliche Daten noch einmal eingegeben werden müssen? Und gibt es keine Datensicherung? Unvorstellbar. Außerdem hätte ich dann bereits die Insolvenz des Ladens mitbekommen, denn PayPal ist seine Datenbank. Wenn die Daten aber allesamt noch da sind, welchen Nutzen sollte es für „PayPal“ haben, dass ich die Daten noch einmal auf einer Website eingebe?

Man muss nicht länger als eine Minute darüber nachdenken, um zu erkennen, dass die Behauptungen in irgendwelchen Phishing-Spams absurde Blenderei sind. Wer nach dem Nachdenken vorm Klick immer noch Unsicherheit spürt, kann sich ja einfach mal an der richtigen PayPal-Website wie gewohnt anmelden und schauen, ob es dort ein Problem gibt. Wenn es das nicht gibt, wurde durch diese leicht zu erbringende Vorsicht ein Phishing-Angriff abgewehrt, was eine Menge Geld und Ärger erspart hat.

Bitte beachten Sie das die angegebenen Daten mit den hinterlegten Daten übereinstimmen. Sollte dies nicht der fall [sic!] sein sind wir verpflichtet [sic! Komma fehlt.] eine postalische Legitimation durchzuführen.

Was ist eine „postalische Legitimation“.

Wichtig: Wenn Sie Kreditkarten Daten [sic! Deppen Leer Zeichen.] in Ihrem Kundenkonto hinterlegt haben ist es zwingend erforderlich dieser [sic!] auch zu verifizieren.

Klar, denn auf Kreditkarten sind die Verbrecher immer ganz heiß.

Weiter zur Verifizierung

Der wichtigste Tipp gegen Phishing und gegen den größten Teil der sonstigen Internet-Kriminaltät ist durchschlagend wirksam und verblüffend einfach: NIEMALS in eine E-Mail klicken! Wer direkt die Website von PayPal mit seinem Webbrowser aufruft – diese Webbrowser haben übrigens seit dem Mosaic Netscape 0.95 beta aus dem Herbst des Jahres 1994 eine ausgesprochen praktische Lesezeichenfunktion – stellt dabei fest, dass das vom Spammer postulierte Problem gar nicht besteht. Denn sonst würde man ja auch auf der Website darauf hingewiesen.

Natürlich führt der Link nicht in die Domain der PayPal-Website, sondern zu einem über den Linkkürzer bitly verschleierten Ziel. PayPal hätte einen solchen Mummenschanz nicht nötig, sondern würde einen direkten Link setzen. Ein Verbrecher hat das sehr wohl nötig. Erwartungsgemäß führt dieser Link dann auch…

$ lynx -mime_header http://bitly.com/2hO2hBt | grep "^Location"
Location: https://pp-secure-de-2017.com/script.php
$ _

…zur Website in der viel weniger Vertrauen erweckenden Domain pp (strich) secure (strich) de (strich) 2017 (punkt) com, der man nur beim Hinschauen ansieht, dass sie mit paypal (punkt) com nichts zu tun hat. Alle Daten, die man dort eingibt, gehen direkt an Verbrecher. Sie werden auf jede nur erdenkliche Weise für kriminelle Geschäfte verwendet.

Nehmen Sie zur Kenntnis, dass es sich hierbei ledglich um eine Präventivmaßnahme handelt um zukünftig eine erhöhte Sicherheit für Sie und Ihre persönlichen Daten gewährleisten zu können.

So so, es erhöht also die Sicherheit meiner persönlichen Daten, wenn sie öfter einmal ohne sachlichen Grund irgendwohin übertragen werden? 😯

Ein bisschen von dem Kraut, das die Spammer geraucht haben müssen, hätte ich jetzt auch gern.

Mit freundlichen Grüßen
Ihr PayPal Service Team

Freundlich wie ein Schlag ins Gesicht
Deine Phishing-Spammer

Dies ist eine automatisch versendete Nachricht. Bitte antworten Sie nicht auf dieses Schreiben.
Wenn Sie eine Frage haben, wenden Sie sich bitte an unseren Kundendienst.

Stimmt, die Nachricht wurde „automatisch versendet“.

© 1999-2017 PayPal. Alle Rechte vorbehalten.

Und ein Copyright hat sie auch noch. Da lache ich ja vor Angst, wenn ich ein Vollzitat ins Web stelle!

Handelsregisternummer: R.C.S. Luxembourg B 118 349 – Conseil de gérance der PayPal (Europe) S.à r.l.

Lustige Handelsregisternummern haben die in Luxemburg.

Die AGB von PayPal ändern sich

Donnerstag, 2. November 2017

Vorab: Es geht hier nicht um eine Spam, sondern um eine echte E-Mail von PayPal. Diese ist allerdings ausgesprochen dumm und ein Beitrag PayPals dazu, dass sich das kriminelle Phishing nach Login-Daten von PayPal-Nutzern auch in Zukunft lohnen wird.

Diese E-Mail von PayPal ist echt (nur die schwarzen Balken sind von mir):

Ebenso echt ist die Warnung von Thunderbird, dass diese Nachricht ein Betrugsversuch sein könnte. Diese Warnung hat auch einen guten Grund. Sämtliche Links in der Mail von PayPal gehen nicht auf die Website in der Domain von PayPal, sondern stattdessen in die Domain paypal (strich) communication (punkt) com. Das ist sehr dumm von PayPal, und diese Dummheit ist sehr gefährlich für naive PayPal-Kunden.

Denn so trägt die E-Mail von PayPal alle Kennzeichen einer Phishing-Spam.

PayPal-Kunden gewöhnen sich durch dumme E-Mails wie diese daran, dass eine echte E-Mail von PayPal „aussieht wie eine Phishing-Spam“, weil Links aus der E-Mail in andere Domains gehen. Sie werden so auch daran gewöhnt, in derartige E-Mails zu klicken – was im Falle eines echten Phishings auf eine „liebevoll“ nachgemachte PayPal-Seite in einer anderen Domain führen würde, wo man Gelegenheit erhält, Kriminellen die Zugangsdaten zum PayPal-Konto zuzustecken, damit diese Leute ihre „Geschäfte“ über dieses Konto machen können.

Mir als denkenden Menschen ist es ja schon unbegreiflich, warum eine E-Mail von PayPal nicht standardmäßig digital signiert ist, um jedem Empfänger wenigstens die Möglichkeit zu gewähren, diese digitale Signatur zu überprüfen und damit den Absender und den unverfälschten Inhalt der E-Mail jenseits jedes vernünftigen Zweifels sicherzustellen. Verbunden mit einer sinnvollen Aufklärung der Kunden (und vielleicht sogar der Erstellung von Addons für beliebte E-Mail-Software, die dann die Signatur überprüfen) könnte eine solche Maßnahme wie keine zweite einen Phishing-Sumpf austrocknen, der übrigens auch die Reputation PayPals als die eines „sicheren Zahlungsdienstleisters“ beschädigt. Erfreulicherweise würde eine digitale Signatur von E-Mail noch nicht einmal Geld kosten, aber Schäden in einer derzeit nur PayPal genauer bekannten Größenordnung abzuwenden helfen.

PayPal ist dazu nicht bereit. PayPal scheint wichtigere Anliegen und Pläne als den Kampf gegen die Internetkriminalität zu haben. Das ist schade. Leider kann ich es auch nicht ändern. PayPal könnte es ändern. Aber dort hat man ja leider wichtigere Anliegen und Pläne. Ja, ich werde etwas ätzend, ich merke es ja selbst…

Aber wenn man die E-Mail schon nicht digital signiert, obwohl das kein Geld kostete und mit relativ geringem Aufwand durchführbar wäre, dann kann man doch wenigstens die verlinkten Seiten in der eigenen Domain halten, die jedem PayPal-Kunden vertraut sein sollte.

Ich kann durchaus verstehen, wenn man die Website unter www (punkt) paypal (punkt) com leicht durchschaubar halten möchte und sie deshalb nicht mit solchen Texten „vollmachen“ mag. Aber auch dafür gibt es eine einfache, kostenlose und weisere Lösung, nämlich die Verwendung einer anderen Subdomain. Die Links aus einer derartigen E-Mail würden dann zum Beispiel in eine dafür vorgesehene Domain tos (punkt) paypal (punkt) com gehen, und es wäre klar, dass diese Domain vom Betreiber der Domain paypal (punkt) com eingerichtet wurde. Neben der Kostenlosigkeit eines solchen Vorgehens hätte dies sogar noch einen weiteren Vorteil: Die DNS-Konfiguration für eine zweite Domain würde wegfallen, an ihre Stelle träte eine einzige zusätzliche Zeile in der Konfigurationsdatei für die Domain paypal (punkt) com.

Es hätte also nur Vorteile, wenn man es so machte. Und man müsste schon ein bisschen dumm sein, wenn man es anders machte – etwa so, wie PayPal es hier in seiner E-Mail mit der Mitteilung geänderter AGB vorgemacht hat.

Vor allem, weil ein Mailclient den Empfänger dann auch gleich in rotesten Alarmfarben vor Phishing warnt, weil es nicht nur dumm wäre, sondern auch wie Phishing aussähe. Oh, es wäre ja nicht nur dumm. Der Konjunktiv ist eine Möglichkeitsform, aber diese E-Mail ist bittere Realität. Es ist dumm. Egal, aus welchem Blickwinkel man es betrachtet, sieht es bei genauerem Hinschauen nur immer dümmer aus.

Und es nützt nur der Organisierten Kriminalität.

Sonst hat niemand einen Nutzen davon. Ganz im Gegenteil.

Ich sage ja: Es ist dumm. Es ist gefährlich und unverantwortlich dumm, was PayPal hier tut. Und es wäre gut für alle, wenn PayPal klüger vorginge.

Leider ist diese Dummheit bei PayPal regelmäßig und offenbar völlig beabsichtigt. Meinem Offenen Brief vom 10. Januar 2014 habe ich auch heute kein weiteres Wort hinzuzufügen.

Kontoeinschränkung – Bitte bestätigen Sie Ihre Daten

Freitag, 11. August 2017

Das ist mal ein bisschen anders…

Von: „PayPal Service Team“ <service.team@paypal.de>

Sollte diese Nachricht nicht richtig angezeigt werden, klicken Sie bitte hier

Natürlich ist der Absender gefälscht, und zwar zur Abwechslung einmal so, dass naive Menschen wirklich daran glauben können, die Mail käme von PayPal. Und natürlich ist da nicht mehr in der Spam, was dargestellt werden könnte. Der Link führt auch nicht zu PayPal, sondern er ist über den beliebten URL-Kürzer Bitly maskiert, um Spamfiltern die Arbeit zu erschweren.

PayPal würde niemals einen Link auf die eigene Website in einer E-Mail über Bitly kürzen. Zum einen gibt es dafür keinen technischen Grund, die Textlänge in einer E-Mail ist ja nicht beschränkt, und sollten kürzere Links (etwa für die umbruchlose Darstellung in einer Reintextmail – die vorliegende Spam ist HTML-formatiert, so dass sich das Problem gar nicht stellt) doch einmal gewünscht sein, so könnte PayPal nahezu mühelos einen eigenen Weiterleitungsdienst für eigene Zwecke implementieren. Und zum zweiten würde PayPal damit die Zugriffe seiner Kunden auf die PayPal-Website für einen Dritten, nämlich Bitly, trackbar machen. So etwas ist eine ganz schlechte Idee, wenn es um Geld geht. So etwas macht mit Sicherheit niemand, der einen Zahlungsdienst anbietet.

Der so maskierte Link führt nach der Weiterleitung durch Bitly…

$ lynx --mime-header http://bit.ly/2ftsROw | grep ^Location
Location: http://paypal.de-account-aktualisierung.gdn/
$ _

…schließlich in eine Website in eine Subdomain von de (strich) account (strich) aktualisierung (punkt) gdn, die natürlich nicht die Domain von PayPal ist. Die Subdomain paypal kann darüber nur bei Menschen hinwegtäuschen, die überhaupt keine technischen Kenntnisse mehr haben… oh… das sind wohl beinahe alle Menschen aus der „Generation Smartphone“. Jeder, der eine Domain verwaltet, kann dort beliebige Subdomains einrichten.

Ich hätte ja gern meinen obligatorischen Screenshot der mutmaßlichen Phishing-Site¹ gemacht, aber…

$ host paypal.de-account-aktualisierung.gdn
paypal.de-account-aktualisierung.gdn has address 136.243.175.176
$ ping -c 16 -W 5 136.243.175.176
PING 136.243.175.176 (136.243.175.176) 56(84) bytes of data.

--- 136.243.175.176 ping statistics ---
16 packets transmitted, 0 received, 100% packet loss, time 14996ms

$ _

…der von den Spammern gemietete Server scheint schon abgeklemmt worden zu sein. Dafür einen warmen Dank an die Hetzner Online GmbH. So schnell müsste das immer gehen! 😉

Grundsätzlich gelten jedoch drei Dinge, denn so viel Glück wird man nicht immer haben:

PayPal versendet solche E-Mails nicht. Die E-Mail von PayPal ist ohne weiteres Geklicke lesbar. PayPal ist dazu imstande, eine E-Mail zu verfassen, in der man den Text auch lesen kann. Jeder aufgeweckte Achtjährige ist nämlich dazu imstande. Warum sollte PayPal im Kontakt zu seinen Kunden hinter dieses Niveau zurückfallen?
PayPal wird niemals einen Link auf die eigene Website über einen externen Kürzer wie Bitly maskieren und damit ohne technischen Grund einem Dritten eine Datensammlung über den Zugriff auf die Website eines Finanzdienstleisters ermöglichen. So etwas machen wirklich nur Spammer, die verhindern wollen, dass die von ihnen benutzten Domains binnen weniger Viertelstunden auf den einschlägigen Blacklists stehen, so dass ihre Spams nicht mehr ankommen.
Wenn man sich angewöhnt, niemals in eine E-Mail zu klicken, sondern einfach die jeweilige Website direkt aufzurufen – die Webbrowser haben zu diesem Zweck seit 1994 eine ausgesprochen praktische Lesezeichenfunktion – dann kann man nicht auf Phishing über eine E-Mail hereinfallen und fängt sich übrigens auch nicht so leicht Schadsoftware ein, weil man keine Websites von spammenden Verbrechern besucht. Wenn es ein Problem bei PayPal, Amazon, eBay, Facebook, etc. gibt, dann wird man auf den jeweiligen Websites nach der Anmeldung deutlich darauf hingewiesen. Es besteht kein Grund, in die E-Mail zu klicken, aber es ist gefährlich.

Diese Spam ist ein Zustecksel meines Lesers M.S. – Danke!

¹Es ist nicht sicher, dass es sich hier um Phishing handelt – im Moment ist wieder sehr viel Schadsoftware unterwegs, die ebenfalls in kurz gefassten E-Mails, dort allerdings meist als Anhang, transportiert wird.

Sehr gutes Paypal-Phishing

Montag, 27. März 2017

Keine Spam, sondern eine Warnung des LKA Niedersachsen zu einer derzeit „umlaufenden“ Phishing-Spam (die „leider“ noch nicht bei mir angekommen ist):

Eigentlich müsste man den Hut vor der Leistung der Cyberkriminellen ziehen. Die Phishingmail und die zugehörige Webseite sind optisch sehr gut gefälscht und können den einen oder anderen Empfänger schnell dazu verleiten, dem Link „Konto bestätigen“ zu folgen und die geforderten Daten einzugeben

Weiterlesen beim Ratgeber Internetkriminalität der niedersächsischen Polizei…

Daten bestätigen – Überprüfung

Donnerstag, 2. März 2017

Regelmäßige Überprüfung

Ja, stimmt! So etwas kommt regelmäßig. Alle paar Tage überprüfen die Spammer, ob inzwischen wieder ein paar neue Leute auf das alte Phishing reinfallen. Die Spam kostet ja auch nichts.

Guten Abend,

Natürlich weiß der Absender – im Gegensatz zum richtigen PayPal – nicht, wie der Empfänger heißt¹. Aber immerhin weiß er ungefähr, welche Tageszeit ist.

zu Ihrer Sicherheit führen wir regelmäßig eine Verifizierung ihrer Daten durch.

Das ist ja nett. Und was habe ich damit zu tun?

So können wir feststellen, dass Sie auch wirklich der Kontoinhaber sind und kein Unberechtigter Ihre Bankdaten benutzt.

Ich sage ja: Das ist nett. Aber wie wollen die jetzt feststellen, dass wirklich ich es bin und nicht Hänschen Unberechtigt aus der Spammer-Krabbelgruppe nach dem Grundkurs „Phishing auf dem Pisspott“? Und warum drohen die mir in diesem Zusammenhang subtil an…

Bis zur Bestätigung besteht ein Sende- und Abbuchungslimit.

…dass ich nicht mehr an mein Geld komme, bis ich endlich aktiv werde, statt mich ganz normal wegen eines regelmäßigen Prüfungskrams anzusprechen?

Nun, die Antwort ist wie immer verblüffend einfach:

Das ist nicht PayPal.
PayPal versendet solche Mails nicht. Das ist eine Spam.
Alles, was in dieser Spam steht, ist Bullshit, der nur geschrieben wurde, um die Empfänger zu überrumpeln, damit diese den Absendern ihre Zugangsdaten geben.

Aber sonst wäre die Spam ja auch nicht hier gelandet. 😉

So bestätigen Sie Ihre Daten in nur wenigen Minuten:

Wer also wieder an sein Geld kommen will, sollte folgende Dinge tun, die nicht einmal besonders viel Zeit kosten:

Loggen Sie sich auf paypal.de in Ihr [sic!] Account ein.

In die Spam klicken. Das ist eine HTML-formatierte Spam. Der Text paypal.de ist nicht mit der Domain paypal (punkt) de verlinkt, sondern mit einer Subdomain der Domain tcl (punkt) at. Diese hat nichts mit PayPal zu tun und steht unter der Kontrolle irgendwelcher anderer Gestalten.

Übrigens: Wer sich angewöhnt, niemals in eine E-Mail zu klicken, sondern Websites immer über ein Lesezeichen in seinem Webbrowser aufzurufen, kann auf kein noch so gut gemachtes Phishing reinfallen (und es gibt besseres Phishing als dieses Beispiel). Denn natürlich würde nach einem ganz normalen Login beim richtigen PayPal schnell klar, dass alles wie gewohnt funktioniert, kein Hinweis angezeigt wird und der ganze Unsinn aus der Spam gegenstandslos ist.

Das Beste an dieser sehr einfachen Vorsichtsmaßnahme unter Verwendung des Gehirnes: Sie kostet kein Geld, braucht keine Signaturupdates, legt niemals den Rechner lahm und wirkt völlig zuverlässig gegen Phishing.

Sie werden automatisch weitergeleitet.

In der Tat:

$ lynx -mime_header http://s.tcl.at/K | grep '^Location'
Location: http://paypa.l-de-signin-lang-ger.info
$ _

Es geht in eine Subdomain der ausgesprochen unhandlich benannten Domain l (strich) de (strich) signin (strich) lang (strich) ger (punkt) info, bei der man nur durch Hinschauen bemerkt, dass sie mit der Absicht des Phishings eingerichtet wurde. Dies geschah übrigens erst vorgestern…

$ whois l-de-signin-lang-ger.info | grep '^Creation'
Creation Date: 2017-02-28T18:26:23Z
$ whois l-de-signin-lang-ger.info | grep '^Registrant' | sed 5q
Registrant Name: WhoisGuard Protected
Registrant Organization: WhoisGuard, Inc.
Registrant Street: P.O. Box 0823-03411
Registrant City: Panama
Registrant State/Province: Panama
$ _

…und wie gewohnt vollständig anonym unter Benutzung eines Dienstleisters aus dem schönen, sonnigen Panama. Diese Entscheidung der Spammer wurde dadurch motiviert, dass Handschellen immer so eine lästige Einschränkung der Bewegungsfreiheit sind.

Folgen Sie den Anweisungen.

Zur Legitimierung

Nun, wer das tut, dort seinen PayPal-Login benutzt und anschließend lauter Daten noch einmal eingibt, die PayPal schon längst kennt, gibt Kriminellen einen Zugriff auf sein PayPal-Konto und hat den Schaden.

Zugangsdatum: 21:49:20 01.03.2017

Eine völlig überflüssige Angabe, denn Datum und Uhrzeit stehen bereits im Mailheader.

Sicherheitshinweis: Sie erkennen Spoof oder Phishing-E-Mails oftmals schon in der Anrede.

Vor allem erkennt man Phishing-Mails daran, dass irgendwelche beim Absender schon längst bekannte Daten „verifiziert“ werden sollen, indem in die E-Mail geklickt wird. Deshalb kann man sich auch so einfach davor schützen, indem man sich angewöhnt, niemals in eine derartige Mail zu klicken. (Und ja, die können auch viel besser gemacht sein als dieses Beispiel.)

Diese Benachrichtigung wurde an xxx@example.com² gesendet, weil Sie in Ihren E-Mail-Einstellungen unter „Benachrichtigung“ den Erhalt aktiviert haben. Bearbeitungsnummer: PP-759xxxx

Diese E-Mail ging an die Mailadresse, die im Header als Empfänger eingetragen wurde, was nicht gerade eine Überraschung, sondern der Normalfall ist. Warum man das noch einmal erwähnen muss? Na, das macht den Text größer, sieht schön technisch aus und soll Dumme beeindrucken.

¹Das ist kein sicheres Merkmal mehr, denn den Spammern sind zu vielen Mailadressen die Namen bekannt.

²Mailadresse hier geändert.

Dieses Prachtexemplar der gegenwärtigen Phishing-Streumunition wurde mir von meinem Leser S.S. zugesteckt.

PayPal Verifikation

Samstag, 26. November 2016

Erstmal ein Blick aufs Layout der HTML-formatierten Spam:

Screenshot des Layouts der Spam, wie es in einer Mailsoftware erscheint

Für Menschen, die sich leicht vom Layout verblenden lassen – und da PayPal sich auch im Jahre 2016 noch nicht dazu durchgerungen hat, grundsätzlich digital signierte E-Mail an seine Kunden zu schreiben, besteht ja auch gar keine Möglichkeit, den Urheber der Mail sicherzustellen¹ – ist das eine überzeugende E-Mail „von PayPal“.

Natürlich ist diese Spam nicht von PayPal…

Von: PayPal <paypalsecuria14 (at) online (punkt) de>

…wie man schon am Absender sehen kann.

Schon bitter für den Spammer, wenn er zwar ein tolles Layout für seine Phishing-Kampagne gebaut hat, es aber nicht hinbekommt, seinen Absender so zu fälschen, dass die Mail wie eine echte Mail von PayPal aussieht. Übrigens: In eine E-Mail kann ein beliebige Absenderadresse eingetragen werden (ganz ähnlich, wie man auch einen beliebigen Absender auf einen Briefumschlag schreiben kann). Die Fälschung des Absenders ist also „Kinderkram“. Diese Möglichkeit nicht dazu zu nutzen, einen Absender aus der Domain paypal (punkt) com einzutragen, ist schon sehr sehr blöde.

Aber bin ich mal froh darüber, dass sich die meisten Spammer nicht vorgedrängelt haben, als der Herrgott die Intelligenz verteilt hat, denn sonst würden noch mehr Menschen auf derartiges Phishing hereinfallen.

gammelfleisch@tamagothi.de – Bestätigung erforderlich.

Oh, das ist ja schön, Spammer! Hast du deine Mailadressen mit einem Harvester eingesammelt? Du bist ja ein ganz Großer! 😀

Das echte PayPal spricht seine Kunden übrigens nicht mit ihrer Mailadresse an, sondern mit ihrem für die Registrierung verwendeten Namen. Und wer präventiv für PayPal und andere wichtige Dienste eine eigene, sonst nirgends verwendete Mailadresse benutzt, die auch nicht leicht zu erraten ist – eine Mailadresse ist ja schnell eingerichtet – kann natürlich nicht so leicht von einer „irgendwo eingesammelten“ Mailadresse in einer Phishing-Spam erschrocken werden – wenn es nicht mal wieder ein Datenleck bei eBay oder PayPal gibt, das trotz der erhöhten Gefahr für die rd. 145 Millionen davon betroffenen Kunden monatelang nicht kommuniziert wird.

Online ansehen

Schon klar, mit einer über TinyURL verschleierten Zieladresse des Links.

Mein Dank geht an TinyURL, dass der Link binnen fünfer Minuten nach Meldung dieses Missbrauchs durch Phisher unbenutzbar gemacht wurde! So schnell müsste es immer gehen! Ich hoffe, dass hat vielen naiven Internetnutzern sehr viel Geld, Ärger und juristische Scherereien nach dem eventuellen Missbrauch ihrer PayPal-Konten für Betrug und Geldwäsche erspart.

Sehr Geehrter Kunde,

Das ist mal wieder genau mein Name!

aus Sicherheitsgründen wurde Ihr PayPal-Konto deaktiviert.

Ah ja. In der Tat, ein deaktiviertes Konto ist sicher…

Und warum wird es nun gesperrt?

Grund dafär sind wiederholt vom Sicherheitssystem verzeichnete,
auffällige Aktivitäten bgzl. Ihrer Kontennutzung. Wir bitten daher um Bestätigung der bei uns hinterlegten Daten, um erneute Aktivierung Ihres PayPal-Kontos vornehmen zu können.

Ah ja, weil es von mir genutzt wird. Und um die Sperrung aufzuheben, soll ich einfach sämtliche von mir bei PayPal angegebenen Daten noch einmal bei PayPal angeben, obwohl jemand, der sich meines Kontos ermächtigt hat, Einblick auf diese Daten hätte oder sie sogar verändern könnte. Das ist purer Sicherheits-Bullshit, wie er von PayPal niemals kommen könnte, aber sehr wohl von einem Kriminellen, der neues Kontomaterial für seine „Geschäfte“ braucht.

Und, was war jetzt die Auffälligkeit?

Informationen zur Auffälligkeit:

IP: 187.154.21.214
Land: Tunisia
Log In: gescheitert

Eine Anmeldung ist gescheitert. Das ist doch eine gute Nachricht, dass andere nicht aufs Konto zugreifen können, und keineswegs ein Grund, das Konto zu sperren. Mit einer IP, die angeblich aus Tunesien kommt. In Wirklichkeit kommt sie übrigens aus Mexiko. Aber Menschen, die das überprüfen, gehören nicht zur „Zielgruppe“ dieses Verbrechers, der vor allem naive Internetnutzer überrumpeln will, und so hat sich der Spammer auch keine Mühe gegeben, seine Scheinbehauptung ein bisschen überzeugender zu machen. Denn wenn der Spammer sich Mühe geben wollte, könnte er ja gleich arbeiten gehen.

Übrigens: Wenn PayPal wirklich so empfindlich wäre, dass bei solchen „Auffälligkeiten“ Konten gesperrt werden, könnte man PayPal weder anonymisierend über Tor, noch über einen Proxyserver oder ein VPN, noch im Urlaub nutzen, ohne vorübergehend den Zugriff auf sein Konto zu verlieren. Diese Vorstellung ist absurd, und es bedarf nur weniger Sekunden Nachdenkens, um das zu bemerken. Aber wer das durch kurzes Nachdenken vor seinem Klick bemerken kann, gehört nicht zur „Zielgruppe“ dieses Verbrechers… ach, ich wiederhole mich!

Identität bestätigen

Das Linkziel ist wieder über TinyURL maskiert.

Übrigens: Wenn man seine Identität durch einen Klick und ein paar Eingaben „bestätigen“ könnte, brauchte auf dieser Welt niemand mehr Ausweise und Pässe; der extreme Aufwand, mit dem man diese Papiere herstellt und fälschungssicher macht, könnte einfach eingespart werden.

Diese Spam wurde automatisch erstellt und bleibt daher ohne Grußformel oder vergleichbare simulierte Höflichkeit patzig. Und jetzt mach schon…

…und verifizier PayPal! Egal, wo du gerade bist! Je panischer und gedankenloser du das machst, desto besser für die Verbrecher, die dir diese Phishing-Spam ins Postfach gemacht haben.

Und vor allem: Verifizier PayPal! Nicht etwa dich und deine Daten gegenüber PayPal! Den Phishing-Text haben die Spammer ja schon fertig, was sollen die sich am Ende ihrer Spam noch anstrengende Gedanken um irgendwelche Details machen…

¹Digitale Signatur von E-Mail ist keine Raketentechnologie, die viel Aufwand erfordert. Die dafür erforderliche Software steht frei und kostenlos zur Verfügung. Der Verzicht von Finanzdienstleistern wie PayPal auf die digitale Signatur jeder E-Mail ist eine Förderung des Phishings und der organisierten Internet-Kriminalität, der keinerlei Vorteil gegenübersteht. Angesichts der Verbreitung und langjährigen Renitenz dieser Dummheit fällt es mir inzwischen schwer, nicht an eine verschwörungsartige Absprache (oder Einflussnahme staatlicher Akteure) zu glauben, deren Ziel es ist, die Verbreitung wirksamer, nützlicher und unentbehrlicher kryptografischer Methoden mit allen Mitteln zu unterbinden, koste es, was es wolle.

Ihr PayPal-Konto ist eingeschränkt

Mittwoch, 20. April 2016

„Leer“ ist das Wort, „leer“… 😀

Von: PayPal <noreply (at) paypal (punkt) de>

Natürlich ist der Absender gefälscht. Diese (relativ gut gemachte) Phishing-Spam hat niemals einen Server von PayPal gesehen.

E-Mail-Adresse
gammelfleisch@tamagothi.de

Hey, Spammer! Die Empfänger-Mailadresse steht bereits im To-Header und ist damit eine völlig überflüssige Angabe. Und auch…

Datum
20.04.2016

…das Datum steht im Header und wird in jeder Mailsoftware angezeigt.

Aber vermutlich glaubst du, dass deine Spam besser und „offizieller“ aussieht, wenn sie möglichst viele in einer E-Mail sinnlose Angaben enthält, die in einem Sackpost-Brief sinnvoll wären.

Sicherheitsmaßnahme

Auch auf die Gefahr hin, mich immer wieder zu wiederholen…

Lieber Kunde

…kennt PayPal einen anderen Namen für seine Kunden als „Lieber Kunde“ und würde diesen anderen Namen in seiner Anrede verwenden. Da die Spammer inzwischen aus diversen Datenlecks viele Zuordnungen von Klarnamen zu Mailadressen haben, ist eine völlig unpersönliche Anrede kein sicheres Erkennungszeichen für jeden Phishing-Versuch mehr, aber wo sie auftritt, ist immer noch klar, dass man es mit Betrügern zu tun hat.

Im Zusammenhang damit, dass angeblich Probleme mit einem Konto vorliegen, sollte das zu sofortigen Zuckungen im Löschfinger führen.

unser Sicherheitsteam musste Ihr Nutzerkonto bedauerlicherweise einschränken. Der Grund dafür ist, dass wir eine verdächtigte Zahlungstransaktion erfasst haben. Dies war also eine reine Sicherheitsmaßnahme.

Aha, ein Bezahldienst schaltet ein Konto ab, weil es zum Bezahlen benutzt wird. Gut zu wissen. 😀

Und was kann man dagegen tun?

Wir bitten Sie deshalb Ihre Daten binnen 7 Tagen zu bestätigen, damit Sie Ihr Konto wie gewohnt weiter nutzen können.

Richtig: „Seine Daten bestätigen“. Also: Dem angeblichen „PayPal“ der Spammer lauter Daten mitteilen, die das richtige PayPal schon längst kennt. Und damit man das auch ja richtig macht, wird es hier noch einmal erklärt:

Was muss ich jetzt machen?

Folgen Sie dem Button [sic!]

Verifizieren Sie sich

Sie können Ihr Konto uneingeschränkt nutzen

Zur Überprüfung

Man soll „dem Button folgen“. Klingt ja auch viel besser als „auf einen Link in einer E-Mail klicken“, ist aber genau das. Genau genommen klingt es nicht einmal besser, sondern einfach nur dümmlich. Dieser Link führt nicht etwa zu PayPal, sondern zum URL-Verlängerer (Ja, die Welt ist so reif!) megaurl.co, der dann zu einer Website in die Domain paysecuree (punkt) com weiterleitet. Diese Domain…

$ whois paysecuree.com | grep -i '^registrant'
Registrant Name: James Axxxxx
Registrant Organization: N/A
Registrant Street: Oxxxxx 20   
Registrant City: Ede
Registrant State/Province: Other
Registrant Postal Code: 6xxxGK
Registrant Country: NL
Registrant Phone: +31.068416xxxx
Registrant Phone Ext: 
Registrant Fax: 
Registrant Fax Ext: 
Registrant Email: aledax23@gmail.com
$ _

…gehört nicht PayPal und hat nichts mit PayPal zu tun. Ich habe ein paar Dinge unkenntlich gemacht, obwohl es offen zugängliche Daten sind, weil ich davon ausgehe, dass hier die Identität eines anderen Menschen missbraucht wird. Der Mensch mit dieser Anschrift tut mir leid, denn er wird wegen der asozialen Kriminalität anderer Leute eine Menge Ärger und Laufereien bekommen, auf die ein Mensch gut verzichten kann. So etwas ist übrigens auch ein Grund, weshalb man immer sparsam mit seinen persönlichen Daten umgeht und sie nicht überall eingibt, wo man sie eingeben kann. Auch nicht für eine Handvoll Glasperlen… ähm… für einen kostenlos nutzbaren Dienst im Web oder für eine kostenlos nutzbare App oder dergleichen. Und auch nicht bei Anbietern, die „seriös“ aussehen, denn das Wichtigste beim Betrug ist nun einmal ein „seriöses“ Aussehen.

Diese Webseite, die nicht von PayPal ist und die übrigens den Titel „Ihr Konto wurde vorübergehend eingefroren“ trägt, sieht übrigens so aus:

Sie funktioniert übrigens nicht ohne Javascript. Wer – wie ich es unbedingt empfehle – nicht jeder dahergelaufenen Seite in einem anonymisierenden, technischen Medium das Ausführen von Code im Webbrowser gestattet, sondern dieses Privileg nur ausgewählten Seiten geben möchte und deshalb ein scheinbar „unbequemes“ Browser-Addon wie NoScript verwendet und PayPal die Ausführung von Javascript erlaubt hat, bemerkt spätestens beim Nichtfunktionieren dieser Seite, dass etwas nicht stimmt.

Aber vermutlich ist niemand, der sich auch nur rudimentäre Gedanken um Computersicherheit macht, so weit gekommen. Es gibt vorher genug Alarmzeichen, obwohl die Spam zugegebenermaßen gut gemacht ist:

Die Spam geht an willkürlich eingesammelte Mailadressen. Wer für einen Dienst wie PayPal eine eigene Mailadresse verwendet, die nirgends anders verwendet wird und deshalb nicht „eingesammelt“ werden kann, merkt sofort, dass etwas nicht stimmt.
PayPal versendet solche E-Mails mit Klickmich-Aufforderung nicht.
PayPal spricht seine Kunden persönlich an.
Jeder Mensch, der weiß, dass man gegenüber E-Mail gar nicht misstrauisch genug sein kann, klickt nicht in die Spam, sondern ruft die PayPal-Website auf und meldet sich dort ganz normal an. Wenn dabei kein Problem angezeigt wird, ist unmittelbar klar, dass die E-Mail eine Spam ist.
Ein PayPal-Link, der nicht in die Website von PayPal geht, ist hochverdächtig.
Ein paar Formulierungen – insbesondere dieses „Folgen Sie dem Button“ statt einer Form von „Click here“, die immer häufiger von Spamfiltern aussortiert wird – sind doch ein bisschen zu lächerlich, um echt sein zu können.

Mit freundlichen Grüßen
Ihr Team für Kundensicherheit

Ja, ihr mich auch mal!

Copyright © 1999-2016 PayPal. Alle Rechte vorbehalten. PayPal (Europe) S.à r.l. et Cie, S.C.A., Société en Commandite par Actions. Eingetragener Firmensitz: 22-24 Boulevard Royal, L-2449 Luxembourg RCS Luxembourg B 118 349.

Nein, diese Spam kommt natürlich nicht von PayPal. Aber weil ich das immer wieder sage, sage ich es auch hier, und zwar mal mit etwas deutlicheren Worten: Wer „geistiges Eigentum“ auf den massenhaft reproduzierten Standardtext einer E-Mail proklamiert, macht sich lächerlich und stellt sich selbst als Vollidiot dar. Unter einem Brief, der mit der Sackpost an seinen Empfänger zugestellt wird, würde auch niemand so einen hirnlosen Rotz schreiben, wenn er mehr Intelligenz als eine frisch amputierte Laborratte hat und die Intelligenz der Leser seiner Briefe nicht gerade offen verachten möchte. Unter einer E-Mail ist es genau so dumm. Und diese Dummheit ist nicht die Dummheit von Spammern, sie ist direkt von PayPal abgeschaut, denn es ist die Dummheit PayPals, die man in jeder E-Mail von PayPal „genießen“ darf.

Deshalb noch ein kleiner Nachschlag von mir, in leicht jovialem Ton, der sinngemäß auch auf viele Kreditinstitute übertragbar ist:

Hey, PayPal,

könnt ihr bitte mal mit diesem von jedem Kriminellen leicht über die Zwischenablage zu imitierenden Bullshit mit dem „Copyright“ und dem „All rights reserved“ unter euren E-Mails aufhören, der keinerlei Funktion hat, juristisch bedeutungslos ist und einfach nur so dumm ist, dass es weh tut! Ich wäre euch sehr dankbar dafür.

Stattdessen könnt ihr einfach mal etwas sinnvolles mit euren E-Mails machen. Zum Beispiel könntet ihr damit beginnen, sie digital zu signieren, um den Phishing-Betrügern das Leben wenigstens ein bisschen schwerer zu machen. Technische Verfahren und Software zu ihrer Umsetzung stehen seit rd. 25 Jahren (ja, das ist ein Vierteljahrhundert, also ungefähr fünfzig Erdzeitalter der Informationstechnik) jedem zur Verfügung, der sie nutzen will, und inzwischen sogar Frei und kostenlos. Wenn ihr dann auch noch euren Kunden erklärtet, was eine digitale Signatur ist, warum eine digitale Signatur bei der Nutzung eines Mediums, in dem jeder seinen Absender fälschen kann, erforderlich ist und wie man die digitale Signatur überprüft (und gegebenenfalls selbst nutzt) und keine einzige unsignierte E-Mail mehr heraussendetet, hättet ihr fast alles gegen das Phishing getan, was ihr tun könntet – denn es wäre nicht mehr möglich, eine Mail von euch zu fälschen.

Wenn ihr digitale Signaturen nutztet, hätten sich viele Probleme erledigt.

Dass ihr das nicht tut, obwohl es praktisch keine Kosten verursachte, zeigt, dass ihr es nicht tun wollt. Und dass ihr das nicht tun wollt, zeigt, dass euch die Sicherheit des Zahlungsverkehrs eurer Kunden scheißegal ist, denn sonst würdet ihr Betrugsmöglichkeiten im Keim ersticken, wenn es nahezu kosten- und aufwandslos möglich wäre.

Ich hoffe, dass jeder eurer Kunden daraus die richtigen Schlüsse ziehen kann.

Ich hoffe ferner, dass ihr für diese eure Fahrlässigkeit einmal haftbar gemacht werdet und die dadurch bei anderen Menschen angerichteten Schäden erstatten müsst.

Ich befürchte aber, dass ich das nicht mehr erlebe.

Statt, dass ihr euren E-Mails etwas sinnvolles hinzufügt, nämlich eine digitale Signatur, fügt ihr ihnen etwas sinnloses hinzu, nämlich einen Hinweis, dass ihr für das großartige „Werk“ den vollen Schutz des „geistigen Eigentums“ beansprucht.

Ihr macht euch damit zu Freunden der Phisher. Aus Dummheit.

Nur, ums euch mal gesagt zu haben.
Der Nachtwächter

Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.