Bevor ich erkläre, wie ich auf diese Frage komme, gibt es zunächst einmal eine ganz gewöhnlich anmutende Phishing-Spam.
Diese Mail sieht auf dem ersten Blick wie das ganz normale, dumme Phishing aus; etwas, das ich hier so oft erwähne, dass ich mich hier jeden längeren Kommentares zum Inhalt und zu den Schwächen der Mail enthalte [bis auf Kurzanmerkungen in eckigen Klammern]:
Betreff: Αktuаlіѕіегung dеѕ Kоntоѕtаtuѕ
Absender: ѕervісe (at) pауpаl (punkt) de <natalie (at) studionphotography (punkt) com> [natürlich gefälscht!]
Hallo Lieber Kunde! [sic!]
Bitte helfen Sie uns dabei, Ihr ΡауΡаl-Konto wieder in Ordnung zu bringen. [sic!] Bis dahin haben wir den Zugang zu Ihrem ΡауΡаl-Konto vorübergehend eingeschränkt.
Wo liegt das Problem?
Wir möchten, dass Sie einige Ihrer Kontoinformationen bestätigen. [sic! Das ist eine tolle „Begründung“!]
Was mache ich jetzt?
Loggen Sie sich in Ihr ΡауΡаl-Konto ein und gehen Sie auf die Seite Konfliktlösungen. Dort sehen Sie, welche Informationen wir genau von Ihnen brauchen – und können sie gleich einreichen. [sic!] Und Sie sehen auf einen Blick, welche Funktionen Ihres ΡауΡаl-Kontos Sie noch nutzen können. [sic!]
Viel Einkaufsspaß mit sichererereren Zahlungen wünscht ΡауΡаl!
Copyright © 2014 ΡауΡаl. Alle Rechte vorbehalten.
Jeder Mensch mit einem bisschen Erfahrung sollte diese Mail als eine Spam und einen sehr durchschnittlichen Phishing-Versuch erkennen können, wenn sie einmal durch den Spamfilter kommt. Allein schon an der lustigen Anrede… 😉
Die Links gehen im Original natürlich nicht zu PayPal, sondern auf kryptische Subdomains in der Domain pay4lo (punkt) com, die vorgestern unter Angabe einer in Google Maps nicht auffindbaren Anschrift registriert wurde, und zwar unter anderem unter der Angabe der bemerkenswerten E-Mail-Adresse test7000 (at) yahoo (punkt) com. An den Links hängt als URI-Parameter die base64-codierte E-Mail-Adresse des Empfängers; bei einem Klick wird dem Spammer also mitgeteilt, wo die Spam angekommen ist und beklickt wurde. Oder anders gesagt: Der neugierige Klick wird Folgen haben, ganz viele Folgen, jeden Tag ein Postfach voll…
So weit der leider normale Spam- und Phishing-Wahnsinn.
Datenleck?
Was diese Spams besonders und möglicherweise sehr gefährlich macht, ist etwas anderes.
Die mir vorliegende Spam – sie wurde mir übrigens von einem Leser „zugesteckt“ – ist keine „Streumunition“, sondern sehr gezielt. Sie ging an zwei verschiedene E-Mail-Adressen, die exklusiv für PayPal (um ganz unmissverständlich zu sein: für nichts anderes) verwendet wurden. Zudem wurden die PayPal-Konten mit den beiden verschiedenen E-Mail-Adressen gegenüber verschiedenen Geschäftspartnern auf eBay verwendet.
Eine dieser E-Mail-Adressen wurde vor kurzem stillgelegt, die andere hingegen wurde neu eingerichtet und bis zum Empfang dieser Spam nur für eine einzige Transaktion verwendet.
Es gibt neben dem Menschen, der diese E-Mail-Adresse eingerichtet hat, und PayPal also zurzeit niemanden, der überhaupt von der Existenz dieser Mailadresse weiß. Es handelt sich auch nicht um eine E-Mail-Adresse, die sich mit Leichtigkeit erraten lässt, also nicht um „vorname punkt nachname at kostenlos“, die sich bequem durch Verwendung einer Namensliste generieren und durchspammen lassen.
Und natürlich kam diese Phishing-Spam nur bei den beiden für PayPal verwendeten Adressen an. Und nirgends anders.
Und das erweckt den sehr starken Eindruck, dass bei eBay oder PayPal ein Datenleck vorliegen könnte. Das ist die einfachste Erklärung dafür, wie die Phisher an diese E-Mail-Adressen gekommen sein könnten. (Der Computer, der verwendet wurde, war „sauber“.)
Neben dieser einfachen und sich unmittelbar aufdrängenden Erklärung gibt es noch einige fernerliegende mögliche Erklärungen:
- Der Geschäftspartner könnte auf ungeklärtem Weg an beide Adressen gekommen sein
Die Adresse wurde für eBay-Geschäfte benutzt. Alle Kommunikation lief über eBay. Dabei wird die Mailadresse maskiert. Selbst, wenn dabei die Mailadresse auf irgendeinem Wege übertragen und anschließend von einem Trojaner abgegriffen und an die Verbrecher gesendet wurde, wäre es dabei nicht zur Offenlegung beider Adressen gekommen, da diese gegenüber verschiedenen Partnern verwendet wurden. Das wirkt also unwahrscheinlich.
- Es handelt sich um E-Mail-Abhördaten
Es ist ja keine Neuigkeit, dass nahezu der gesamte E-Mail-Verkehr von Geheimdiensten der Bundesrepublik Deutschland im Rechtsfreien Raum systematisch mitgelesen und überwacht wird¹, und zwar ohne, dass die Überwacher wirksam überwacht würden. Nicht, dass ich jedem besoldeten Volksüberwacher der Bundesrepublik Deutschland jetzt neben seiner undemokratischen Gesinnung und seiner emotionalen Verrohung auch noch niederste Motive unterstellen möchte, aber es wäre verhältnismäßig einfach, an dieser Stelle eine zentrale Datenbank sämtlicher aktiv benutzer E-Mail-Adressen zu erstellen, und zwar zusammen mit dem Kontext, gegenüber welchen Kommunikationspartnern diese Adressen verwendet werden. Dass solche Auswertungen vorgenommen werden, darf als sicher erachtet werden, sie legen schließlich Beziehungen offen, die in Ermittlungen „interessant“ werden könnten. Ich weiß jetzt natürlich nicht, wie hoch der Sold unserer „werten“ Volksüberwacher ist, aber ich glaube kaum, dass er so hoch ist, dass ein paar tausend oder zehntausend Euro von der Spam-Mafia von jedem Überwacher mit finanziellen Problemen abgelehnt würden, wenn er dafür nur eine… ähm… „dezentrale Sicherheitskopie“ dieser Daten weitergibt. Für Verbrecher ist eine solche Datensammlung in jedem Fall eine Goldgrube, die sogar sechsstellige Investitionen für die Datenbeschaffung plausibel erscheinen ließe, und meine Meinung von der „Ethik“ und vom Charakter eines Menschen, der an einer anlasslosen Totalüberwachung aller Menschen in der BRD beteiligt ist, kann sich hoffentlich jeder vorstellen. Sollte dies die Quelle der Mailadressen sein, wäre eine Situation eingetreten, in der die „Sicherheitspolitik“ unter dem Banner des „Supergrundrechtes“ eines früheren Innenministers Friedrich vor allem gefährlichen Verbrechern aus der Organisierten Kriminalität nützte, ansonsten das Leben der Mehrzahl der Menschen hingegen nicht nur unfreier, sondern auch unsicherer machte. Nicht, dass mich eine solche Entwicklung überraschen würde. Sie ist für mich absehbar. Nach den vielen Datenlecks bei Unternehmungen ist es nur eine Frage der Zeit, bis es zur „Veröffentlichung“ staatlicher Datensammlungen kommt.
- Zufall
Natürlich kann es hin und wieder sehr unwahrscheinliche Zufälle geben. Mit „Zufällen“ kann man – wie mit dem Eingreifen Gottes oder der UFOnauten – alles „erklären“, und deshalb erklärt man dadurch nichts.
Was ist zu tun?
Zunächst erscheint es mir sinnvoll, die „Erklärung“ Zufall auszuschließen.
Deshalb meine Frage an alle Leser: Hat jemand vergleichbare Erfahrungen gemacht? Kam es in den letzten Tagen zu gezielten Phishing-Angriffen auf E-Mail-Adressen, die nur gegenüber PayPal und eBay verwendet wurden, also für keinerlei andere Kommunikation? Wenn das mehr als nur einmal geschehen ist, handelt es sich nicht um einen Einzelfall (und diese Aussage ist mein Beitrag zur Erhöhung der Anzahl veröffentlichter Tautologien im Internet). Dann immer noch Zufall anzunehmen, wäre absurd.
Hinweise auf solche Vorgänge können in den Kommentaren hinterlegt werden. Wer dabei seinen Namen und seine Mailadresse nicht angeben möchte, denke sich einfach etwas aus! Es gibt hier keine Registrierungen, Überprüfungen, Bestätigungsmails und dergleichen, schlimmstenfalls muss ich etwas von Hand freischalten, weil der überempfindliche Spamfilter angeschlagen hat. 😉
Tatsächlich wäre eine derartige Phishing-Welle sehr gefährlich.
Ich selbst gehe so vor, dass ich für jede Registrierung und jeden von mir verwendeten Webdienst eine eigene Mailadresse einrichte, um mich gegen Phishing zu schützen (und nach einem Datenleck bequem eine spamverseuchte Mailadresse stilllegen zu können), und ich empfehle genau diese Vorgehensweise auch jedem anderen Menschen. Das war bislang ein sehr wirksamer Schutz. Der Phisher, der die jeweils verwendete Mailadresse nicht kennen kann, hat selbt dann keine Chance mit seinen Überrumpelungen, wenn ihm eine gute Masche einfällt.
Eine angebliche „PayPal-Mail“, die an die Adresse geht, die ich nur in einem gecrackten Webforum verwendet habe, kann mich nun einmal nicht sonderlich alarmieren. 😉
Das sieht schon sehr anders aus, wenn sie an die richtige Adresse geht. Das, was ein Schutz war, verschafft dem Verbrecher nun einen Vorschuss an Glaubwürdigkeit, der schnell gefährlich werden kann – alles spricht auf einmal dafür, dass es sich um eine Mail von PayPal handelt. Da kann sogar eine nicht ganz so überzeugende Formulierung große Durchschlagkraft erzielen.
In diesem Fall war die Erkennung des Phishings noch einfach. Die unpersönliche Ansprache und kleine „Strokeligkeiten“ in der Formulierung (so so, „das Konto in Ordnung bringen“ und „Informationen einreichen“) erwecken sofort einen Verdacht. Gar nicht auszudenken, was passiert, wenn derartige Adressbestände auch noch mit Klarnamen zusammengeführt werden können (die Spammer arbeiten an diesem Problem) und die Phishing-Spams von jemanden verfasst werden, der glatt und trefflich formulieren kann. Eine Erfolgsquote von mindestens zwanzig Prozent wäre dann keine Überraschung, und es wären Erfolge bei Menschen, die bislang vorsichtig und intelligent vorgegangen sind. Ich mag da ein Vorurteil haben, aber ich gehe davon aus, dass bei diesen Menschen mehr Geld abzugreifen wäre…
Grundsätzlich kann ich im Moment nur eine erhöhte Vorsicht bei allen Mails von PayPal empfehlen. Ganz wichtig dabei: PayPal versendet niemals solche Mails mit der Aufforderung, bei PayPal längst bekannte Daten durch erneute Eingabe zu bestätigen. Es handelt sich immer um Phishing. Aber auch mit unverfänglicheren Anliegen empfiehlt es sich dringend, niemals in eine Mail zu klicken und sich der Gefahr auszusetzen, im „Eifer des Gefechtes“ seine Login-Daten einem Kriminellen zu verraten. Immer die Website von PayPal im Browser aufrufen und sich nur dort anmelden! Und ja: Das gleiche gilt für Banken, Versandhäuser, S/M-Anbieter², DHL, ach, es gilt einfach immer!
Meine Aufforderung an PayPal und eBay
Bitte untersucht diese Sache genau³! Sollte sich der hier dargelegte Verdacht bestätigen, dass ein Datenleck bei PayPal oder eBay vorgelegen hat, so dass gegenüber PayPal oder eBay verwendete Mailadressen „veröffentlicht“ wurden, so kann ich nur dazu raten, sofort aktiv und klärend an die Öffentlichkeit zu treten. Das sonst verlorene Vertrauen kommt so schnell nicht zurück.
Und das könnt ihr nicht wollen.
Ich hoffe allerdings sehr, dass ich hier nur „das Gras wachsen höre“.
¹BKA, BND und „Verfassungsschutz“ machen zurzeit in vollem Umfang wahr, was Stasi und Gestapo mangels technischer Möglichkeiten der herrschenden Klasse nur versprechen konnten. Und ja, Geheimdienstler mit deinem mechanischen Ohr am Datenstrom, der du hier auch an offenen Quellen mitliest: Du bist mein Feind. Warum? Weil du dich wie ein Feind aufführst, du Arsch! Du hast nicht das Recht, zu gehorchen, wenn dir solche Aufgaben übertragen werden! Du hast „nein“ zu sagen, oder du bist schuld. Lies mal ein Geschichtsbuch, du Menschenfeind! Und entschuldige bitte, dass ich dich einfach so duze, aber der Respekt gegenüber Gestalten wie dir geht mir ab.
²S/M ist meine Abk. für „social media“. Aus Gründen. Es hat nichts mit BDSM zu tun, wer aber daran denken musste, hat den von mir gewünschten Eindruck gewonnen.
³Ich werde euch gegenüber keine Angaben darüber machen, welcher eurer Kunden mir diese Information und die Phishing-E-Mail zugesteckt hat. Es ist für euch ein Leichtes, eine E-Mail an alle eure Nutzer zu schreiben, um weitere Betroffene zu finden und eine Vorstellung vom Ausmaß des Problemes zu bekommen. Tatsächlich gehört so eine Vorgehensweise zu den ernsthaften Versuchen einer Aufklärung, zu denen ich euch dringend rate. Alles andere wird, sollte es sich nicht um einen dummen Zufall handeln, dazu führen, dass ihr jedes Vertrauen bei euren Nutzern verliert. Und mit Geldtransfers Geschäfte zu machen, setzt voraus, dass vertraut wird.
…und denen wurden in den letzten gut sieben Stunden stolze 3671 Leute hinzugefügt. Diese Listen haben zwar keinen besonders einfallsreichen Namen, aber dafür ist es auch beide Male der gleiche Name geworden: „paypal money“. Wer da hinzugefügt wird, sieht eine entsprechende Meldung in seinen Mitteilungen, nebst Link auf das tolle Twitter-Profil von 
