Schlagwortarchiv „PayPal“

Hallo PayPal? Einschläge?

Freitag, 10. Januar 2014

Diese Mail ist keine Spam – aber sie ist so unterirdisch dumm, dass sie mir eine deutliche Erwähnung wert ist. Warum diese Mail so unterirdisch dumm ist, wird im Verlaufe des Textes hoffentlich jedem klar werden.

Die (im Falle einer Spam natürlich mit geringem Aufwand beliebig fälschbare) Absenderadresse ist customer (underline) research (underline) eu (at) paypal (punkt) com. Auf die Besprechung der Mailheader verzichte ich vollständig, weil schätzungsweise 95 Prozent der Empfänger dieser Mail das Wort „Mailheader“ noch nie gehört haben, wenn sie diese… ähm… besondere Kommunikationsleistung in einem Webmailer genießen.

Hallo, Vorname Nachname!

Anmerkung: Der Name ist korrekt. Das „Hallo“ ist wörtlich zitiert, das ist wirklich die in der Mail verwendete, geschlechtsneutrale Anrede. Spam mit namentlicher Anrede ist leider alltäglich geworden, nach diversen Datenlecks auch renommierter Websites selbst bei Menschen, die eher vorsichtig mit ihren Daten umgehen.

Wir möchten für Sie noch besser werden. Deshalb führen wir in regelmäßigen Abständen Umfragen unter unseren Kunden durch.

Nach Beendigung der Umfrage nehmen Sie automatisch an unserer Verlosung teil und haben die Chance 1.000 EUR zu gewinnen.

Anmerkung: Jeder gute Phisher könnte auf die gleiche Idee für seine „Story“ kommen. Verschenktes Geld ist eine begehrte Ware, die Empfänger einer Mail oft in der kriminell wünschenswerten Weise dumm macht. Dass es so viel schlechtes Phishing gibt, bedeutet leider nicht, dass es nicht auch einmal in „gut“ durchgeführt werden kann.

Zur Teilnahme an der Umfrage klicken Sie einfach auf diesen Link:
https://www.paypal-research.com?id=xxxx
damit sind Sie auch gleich automatisch bei der Verlosung dabei.

Anmerkung: Der Link geht nicht in die Domain von PayPal. Die verlinkte Seite ist ohne JavaScript nicht verwendbar. Einem leidlich sicherheitsbewussten Nutzer stellt sie sich inhaltsleer und fragwürdig dar.

Jeder Phisher, der sich als PayPal ausgibt, würde ebenfalls einen Link auf eine Webseite legen, die sich nicht in der Domain von PayPal befindet.

Das einzige, was hier bei einer typischen Spam ungewöhnlich wäre, ist die Verwendung von HTTPS. Es wird ein auf PayPal Inc. ausgestelltes Zertifikat von VeriSign verwendet. Es waren auch schon auf Google ausgestellte Zertifikate „im Umlauf“. TLS ist kaputt und in keiner Weise mehr dazu geeignet, Vertrauen darin herzustellen, dass eine Website von einer bestimmten Person oder Unternehmung betrieben wird. Und dieses kaputte Verfahren ist bis jetzt der einzige Hinweis darauf, dass es sich hier um etwas anderes als… sagen wir mal… eine Phishing-Spam handeln könnte.

Vielen Dank für Ihre Hilfe.

Ihr PayPal-Team

Anmerkung: So eine „Grußformel“ und so eine „Unterschrift“ könnte sich jeder dahergelaufene Nachwuchs-Phisher ausgedacht haben. Ich lese so etwas dermaßen häufig, dass ich es schon für ein Spam-Erkennungszeichen halte. Dieses Blogposting wurde übrigens vom Kaiser von China verfasst.

PayPal hat das unabhängige Marktforschungsunternehmen Marketing and Planning Systems beauftragt, diese Online-Umfrage unter seinen Mitgliedern durchzuführen. Wenn Sie Fragen bezüglich der Rechtmäßigkeit dieser Umfrage haben, wenden Sie sich bitte an
customer (underline) research (underline) eu (at) paypal (punkt) com.

Anmerkung: Die Angabe einer Mailadresse, an die man antworten soll, ist ansonsten ein typisches Zeichen dafür, dass der Absender eine E-Mail gefälscht ist. In diesem Fall stimmt die angegebene Adresse mit der Absenderadresse der Mail überein, so dass diese Angabe nicht einmal nötig gewesen wäre. Solche überflüssigen Angaben habe (vermutlich nicht nur) ich relativ häufig in Spams aller Art, und sehr selten in echter Kommunikation.

Die offiziellen Teilnahmeregeln für die Verlosung können Sie abrufen, indem Sie hier klicken:
https://www.paypal-research.com/Surveys/PPResearch/PP_SurveySweeps_DE.html

Anmerkung: Die Teilnahmeregeln für eine „Verlosung“ von PayPal befinden sich nicht in der Domain, in der PayPal seine Website hostet.

Bitte beachten Sie, dass PayPal niemals persönliche Daten (Kennwort, Kreditkarten-/Kontonummern u. ä.) per E-Mail anfordert.

Anmerkung: Phisher tun dies in vielen Fällen auch nicht. Sie legen stattdessen einen „Klickmich-Link“, der nicht in die Domain der Website von PayPal führt. Dort gibt es dann eine Seite, die wie eine Seite von PayPal aussieht – und auf der dann Menschen zur Eingabe von Daten verleitet werden (und in gar nicht so seltenen Fällen auch noch Schadsoftware klandestin installiert bekommen, wenn sie einen anfälligen Browser, anfällige Browser-Plugins oder ein anfälliges Betriebssystem verwenden). Und ich habe genau den gleichen Satz auch schon in Phishing-Mails gelesen. Das gleiche gilt für…

Erfahren Sie, wie Sie Ihr Konto schützen können: https://www.paypal.com/de/securitytips

…den Link auf die – übrigens für PayPal-Nutzer wirklich lesenswerten – Sicherheitshinweise.

Diese Kontaktaufnahme erfolgt ausschließlich zu Marktforschungszwecken. Wenn Sie dies nicht ausdrücklich genehmigt haben, werden wird [sic!] aufgrund Ihrer Teilnahme an dieser Studie nicht erneut Kontakt zu Ihnen aufnehmen. Sämtliche erfassten Informationen sind vertraulich und die bereitgestellten Informationen werden ausschließlich im Rahmen der Datenschutzrichtlinien von PayPal verwendet, die Sie unter der folgenden URL finden:
https://www.paypal.com/de/privacy

Anmerkung: Jede gute Spam kommt mit einer guten Geschichte – und oft eben auch mit kleinen Verschreibern, die auf mangelnde Sorgfalt hinweisen, und zwar vor allem zum Ende des Textes hin, wenn es nicht mehr um die beabsichtige kriminelle „Nummer“ geht, sondern um die Simulation von Sinnhaftigkeit und Seriosität und um die textmengenmäßige „Aufplusterung“ einer dünnen Geschichte.

Bitte melden Sie sich bei Ihrem PayPal-Konto an, klicken Sie auf das untergeordnete Register „Mein Profil“, und klicken Sie in den Kontoinformationen auf den Benachrichtigungslink, um Ihre Benachrichtigungseinstellungen zu ändern. Es kann bis zu zehn Tage dauern, bis Änderungen in unseren Mail-Einstellungen umgesetzt werden. PayPal verkauft und vermietet keine personenbezogenen Daten an Dritte. Weitere Informationen über die Sicherheit Ihrer Informationen finden Sie in unsren Datenschutzrichtlinien unter
https://www.paypal.com/de/privacy.

Anmerkung: Das ist die erste Textstelle, die nicht nach einer guten Phishing-Mail aussieht – denn ein Phisher hätte hier einen Link auf eine Login-Seite gesetzt. Ein halbwegs problembewusster Mensch, der sich nicht von Betrügern abziehen lassen will, kommt aber nicht so weit, weil er schon mehrere unwiderstehliche Zuckungen im Löschfinger hatte.

Diese PayPal-Benachrichtigung wurde an to [sic!] n.n. (at) n.n. (punkt) de, da Ihre E-Mail-Einstellungen auf den Erhalt von Kundenfeedback-Umfragen eingestellt sind. Klicken Sie zum Abbestellen hier:
www.paypal.com/DE/cgi-bin/webscr [… ID entfernt]

Anmerkung: Wer der Empfänger dieser E-Mail ist, habe ich auch am Empfängerfeld im Mailclient sehen können – die Angabe ist also redundant und ziemlich sinnbefreit. Die benannte Einstellung wurde vom Empfänger dieser Mail niemals bewusst vorgenommen, und dort sind auch seit etlichen Jahren keine derartigen E-Mails angekommen, so dass davon auszugehen ist, dass diese Einstellmöglichkeit wohl erst vor kurzem hinzugefügt wurde und standardmäßig… ähm… auf den für PayPal erwünschtesten Stand gebracht wurde. Wenn man nach dieser mutmaßlichen kleinen Eigenmächtigkeit von PayPal eine E-Mail erhält, die auch auf dem zweiten Blick kaum von einer Phishing-Mail zu unterscheiden ist, glaube ich kaum, dass bei irgendeinem Menschen ein Wunsch nach der Wiederholung eines solchen Erlebnisses besteht.

© 2014 PayPal Inc. Alle Rechte vorbehalten. PayPal hat seinen Unternehmenssitz unter der Anschrift Suntec
Tower 5, 5 Temasek Boulevard #09-01, Singapore 038985

Anmerkung: „Geistiges Eigentum“ für eine massenhaft versendete Reklame-E-Mail zu deklarieren, ist so strunzdumm-grenzbescheuert, dass mir immer wieder die Worte fehlen. Möchte mich jetzt vielleicht noch jemand von PayPal dafür verklagen, dass ich darauf hinweise, dass es sich bei dieser verdächtig nach Spam aussehenden E-Mail nicht um eine Spam handelt?

Weitere Anmerkung zu einem hier gepflegten „Standard“: Die Mail ist nicht digital signiert. Der wirkliche Absender könnte – wie gesagt, einen Blick in die Mailheader behandle ich hier nicht – aus Nutzersicht jeder sein. (Die Angabe des Servers im Mailheader gibt auch nur etwas mehr Gewissheit, denn Mailserver werden manchmal feindselig übernommen.)

Offener Brief an PayPal

Werte dafür verantwortliche PayPal-Mitarbeiter,

bitte nehmt es mir nicht persönlich, und ich weiß ja auch, die viele Arbeit und man baut auch mal fürchterlichen Mist… aber… wo habt ihr euer Gehirn gelassen, als ihr diese E-Mail formuliert habt?

Jeder Mensch, der auch nur einen Funken Bewusstsein für die typischen Kriminalitätsformen im Internet hat, wird diese Mail nicht zu Ende gelesen und schnell gelöscht haben. Sie ist für den normalen Empfänger nicht von einer gut gemachten Phishing-Mail zu unterscheiden.

Ihr verwendet als PayPal Links in eine Domain, die nicht die Domain der PayPal-Website ist und fordert dazu auf, auf diese Links zu klicken. Das ist ein typisches Erkennungszeichen für Phishing. Die Verwendung von Domains, die irgendwie nach PayPal klingen, ist beim Phishing auf PayPal-Konten gang und gäbe – und nicht nur dort wird mit Domains geblendet.

Ich habe von dieser Mail erfahren, weil mir jemand etwas aufgelöst gesagt hat: „Die Spammer haben jetzt schon meine eigens für PayPal eingerichtete Mailadresse und meinen Namen“. So gut habt ihr den Eindruck einer Phishing-Mail erweckt. Ein technisch unbedarfter, aber angesichts der laufenden Betrugsnummern vorsichtiger Empfänger hält eure Mail sofort für eine kriminelle Spam und verliert diesen Eindruck auch nach dem zweiten und dritten Lesen nicht.

Ich weiß nicht, was der beabsichtigte Zweck eurer Umfrage ist. Aber eins weiß ich: Ihr bekommt gerade eine riesen Liste von Kunden, die auch auf Phishing reinfallen könnten. Und das Beste daran: Ihr macht ihnen gerade völlig klar, dass die Eigentümlichkeiten von Phishing-Mails gar nichts Ungewöhnliches sind, das sofort Verdacht erwecken und zur Löschung der Mail führen sollte. Ganz im Gegenteil: Mit echten Mails von PayPal sieht es ja genauso aus.

Ein Beitrag zur Erhöhung der Kontensicherheit bei euch ist das nicht. Und „sicherererer“ wird dadurch nur das Geschäft von Gestalten, die in meinen Augen besser ganz sicher in einer Gefängniszelle untergebracht wären, wo sie nicht mehr betrügen können.

Kurz gesagt: Ihr handelt unverantwortlich und dumm.

Und das solltet ihr in Zukunft nicht mehr tun.

Nennt mir bitte einen einzigen, vernünftigen Grund, warum eine von euch in Auftrag gegebene und betriebene Umfrage nicht in eurer gewöhnlich verwendeten Domain gemacht werden kann! Einen einzigen nur! Sind eure Festplatten voll? Streikt euer Webserver, wenn er Umfragen machen muss, weil er dafür nicht bezahlt wird? Habt ihr Verstopfungen in der Datenleitung? Oder wollt ihr einfach nur eure Kunden zur Unvorsicht in der Reaktion auf angebliche Mails „von PayPal“ erziehen? Und wenn ihr schon aus irgendeinem Grund – zum Beispiel, um die Umfrage vom eigentlichen Geschäftssystem abtrennen zu können – eine andere Domain dafür nehmt, warum im Namen des heftig hackenden Henkers richtet ihr nicht einfach eine Subdomain von paypal (punkt) com ein? Habt ihr etwa keinen Admin, der weiß, was so eine Subdomain ist? Muss ich euch etwa die „Geheimnisse“ des DNS erklären?

Ihr habt mir heute wirklich ein bisschen das Gruseln gelehrt.

Und, was noch viel schlimmer als mein letztlich doch eher irrelevantes Entsetzen ist: Ihr habt einen kleinen Beitrag dazu geleistet, dass ein besseres „Biotop“ für Phisher entsteht, und zwar zum Nachteil eurer naiveren Kunden. Wie groß der ungefähre Schaden durch diese Form der Kriminalität ist, fragt bitte bei euch selbst im Hause – im Controlling wird man davon einen gewissen Überblick haben.

Ich wünsche euch für zukünftige derartige Umfragen etwas mehr Geschick bei der Vorgehensweise!

Euer ziemlich erschrockener
Nachtwächter

Wichtig: Ungewöhnliche Aktivitäten in Ihrem Konto

Dienstag, 3. Dezember 2013

Wie jetzt, bewegt sich das Konto? Beginnt es zu singen? 😀

Loggen Sie sich so bald wie möglich in Ihr Konto ein
Guten Tag!

Ich habe keine Ahnung, wie du heißt.

Wir haben in Ihrem Konto ungewöhnliche Aktivitäten festgestellt. Loggen Sie sich bei Konto ein,
um Ihre Identität zu bestätigen. Solange uns diese Informationen nicht zur Verfügung stehen, ist
Ihr Zugang zu vertraulichen Kontofunktionen eingeschränkt. Wir möchten Ihren Zugang
schnellstmöglich wiederherstellen und entschuldigen uns für diese Unannehmlichkeit.

Ich habe nicht verstanden, dass man in einer HTML-formatierten E-Mail nicht am Ende jeder Zeile einen Zeilenumbruch machen muss, und dass es ziemlich mies aussieht, wenn man es dennoch tut und damit den Mailclient daran hindert, den Text einfach an die Fenstergröße angepasst umzubrechen. Dieser ganze Technikkram ist mir ein bisschen fremd, ich benutze den nur zum Spammen. Ich habe auch kein Problem damit, zu sagen, dass du „deine Identität bestätigst“, wenn du irgendwelche Daten in irgendwelche Felder in einer Webseite eingibst; ganz so, als könnte sich dabei nicht jeder als Angela Merkel ausgeben.

Was ist los?

Auch ansonsten bin ich sprachlich stilsicher und niemals um eine kecke Formulierung verlegen.

Wir haben in Ihrem Konto ungewöhnliche Aktivitäten festgestellt. Das sollten Sie tun Loggen Sie
sich so bald wie möglich in Ihr Konto ein. Wir bitten Sie möglicherweise, Informationen zu
bestätigen, die Sie beim Eröffnen Ihres Kontos angegeben haben. So wird sichergestellt,
dass Sie der Kontoinhaber sind.

Dafür vergesse ich manchmal ein paar Satzzeichen. Das macht aber nichts, denn wer hier immer noch keine Zuckungen im Löschfinger bekommen hat, der bemerkt das vermutlich nicht. Vielleicht ist sogar der eine oder andere so doof und glaubt, dass er seine „Identität bestätigt“, wenn er nach einem Klick in eine obskure E-Mail seine Kreditkartennummer, seinen Namen und sein Geburtsdatum eingibt, obwohl die Bank das alles schon längst kennt.

Ach ja, der Link:

Klicken Sie auf den nachfolgenden Link:

Schützen Sie Ihr Konto

Ich hbae mir heute extra für meine Phishing-Spam einen anderen Linktext als dieses dümmliche „Klicken sie hier“ ausgedacht.

Der Link führt in eine längliche Subdomain der Domain p4ym3 (punkt) com, und dort gibt es eine „liebevoll“ nachgestaltete PayPal-Loginseite. Nachdem man mir die PayPal-Logindaten gegeben hat, kann man in einem zweiten Schritt die Kreditkartennummer, die Gültigkeit der Karte, die Prüfnummer, die Kontonummer, das Geburtsdatum und die Postleitzahl angeben. Den Namen kriege ich durch einen Login bei PayPal raus. Danach kann ich tatsächlich „eine Identität bestätigen“, und zwar eine andere als meine. Das kommt mir bei meinen kriminellen „Geschäften“ sehr entgegen – und glaub mir: Das Geld anderer Leute gibt sich viel einfacher aus als das eigene.

Wie geht es nun weiter?

Lassen Sie uns Ihr Konto gemeinsam wiederherstellen. Nachdem Sie alle Schritte durchgeführt
haben, antworten wir Ihnen innerhalb von 72 Stunden.

So, jetzt noch was mit „gemeinsam“, und zum Schluss noch einmal…

Viele Grüße

…ein Winke-winke vom knalldoofen Spam-Autor, der sich sicher ist, dass auch dieses Mal wieder zehn bis zwanzig naive, unerfahrene Leute drauf reinfallen.

Paypal Konto Zugang!

Freitag, 8. November 2013

Die folgende Spam aus der glibbrigen Hölle des Spamfilters wird ohne Kommentar zitiert:

Fortsetzung blockiert !

PayPal – Bitte bestatigen Sie Ihre personlichen Daten

Hallo

Im Rahmen unserer Mabnahmen zur Gefahrenabwehr, regelmabig Bildschirm Aktivitat PayPal.
Wir bitten um Informationen uber Sie aus dem folgenden Grund :

Unser System erkannt ungewohnliche Gebuhren fur eine Kreditkarte in Verbindung mit Ihrem PayPal-Konto.

Dies ist die letzte Mahnung, sich bei PayPal. Dies ist die letzte Erinnerung an bei PayPal anmelden. Sobald Sie
den Zugang werden wir Mabnahmen, um
den Zugang zu Ihrem Konto wieder.

Einmal verbunden, folgen die Schritte zur Aktivierung Ihres Kontos !
Vielen Dank fur Ihr Verstandnis, da wir der Account-Sicherheit zu gewahrleisten arbeiten.

Das Verfahren ist sehr einfach :

Klicken Sie auf den Link unten, um einen sicheren Browser offnen.
Bestatigen Sie, dass Sie der Inhaber des Kontos sind und folgen Sie den Anweisungen.

http (doppelpunkt) (doppelslash) paypal (punkt) de (punkt) cgi (strich) bin (punkt) webscr (punkt) cmd (strich) login (strich) submit (punkt) dispatch (punkt) verified (strich) pp (strich) check (punkt) com (slash) cgi (strich) bin0 (slash)

Bitte nicht auf diese Nachricht antworten. Die Nachrichten unter dieser Adresse eingegangene werden nicht
gelesen und deshalb erhalten keine
Antwort. Um Hilfe zu erhalten, Zeichen in Ihr PayPal-Konto und klicken Sie auf den Link Hilfe in der oberen
rechten Ecke jeder PayPal-Seite.

Mit freundlichen Gruben
PayPal Account Review Department

Copyright (c) 1999-2013 PayPal. Alle Rechte vorbehalten.

Aber ich sende gern die freundlichen Gruben zurück!

Wichtig : PayPal Mitteilung

Samstag, 5. Oktober 2013

Muss wohl wichtig sein, wenn schon im Betreff steht, dass es wichtig ist…

Das wirklich Wichtige allerdings vorab: Diese ziemlich „gut“ gemachte Phishing-Mail mit dem gefälschten Absender service (at) paypal (punkt) de kommt nicht von PayPal, obwohl der Empfänger namentlich angesprochen wird.

Wenn der Müll dann auch noch an die richtige Mailadresse gegangen wäre, hätte er einen naiven Empfänger überzeugen können – ich habe die Angewohnheit, für jede Sache eine eigene Mailadresse einzurichten, und dieses kleine bisschen Prävention empfehle ich erst recht jedem Menschen, der weniger geübt darin ist, Spam sicher als solche zu erkennen. Seit die Verbrecher große Datenbanken haben, in denen Mailadressen zu Namen zugeordnet sind, seit eine persönliche Ansprache also kein Indiz mehr dafür ist, dass eine Mail auch „echt“ ist, bleibt kaum noch ein anderer einfacher Schutz vor derartigen Phishing-Versuchen. Die Verwendung eines guten Mailclients – ich verwende übrigens den inzwischen etwas „moppelig“ gewordenen Thunderbird – macht es einfach, mit mehreren Mailkonten umzugehen.

Natürlich hat auch diese „gut“ gemachte Phishing-Mail eine Reihe von Formulierungsschwächen, die es einem erfahreneren Spamgenießer ermöglichen, den Müll sicher als Müll zu erkennen. Hier nur eine ganz kurze Auflistung dessen, was mir sofort aufgefallen ist, bevor ich mir die Mail näher anschaute:

Hallo
Eine „unhöfliche“ Anrede, die PayPal mit an Sicherheit grenzender Wahrscheinlichkeit nicht für die Kundenansprache wählen würde. Ich schließe aus dieser Anrede, dass diese Spammer noch keine automatisierbare Methode haben, aus dem Vornamen das Geschlecht des Empfängers zu bestimmen, um „Sehr geehrter Herr“ oder „Sehr geehrte Frau“ vor den Namen setzen zu können.
im Rahmen unserer aktuellen Identitätsprüfungen
Wie sollte eine Unternehmung, die nichts weiter als verifizierte Kontodaten hat, „Identitätsprüfungen“ durchführen? Das ist Bullshit.
bezüglich Ihres PayPal-Kontos
Eine steife, papierhaft klingende Formel, die den spröden Charme eines Strafzettels verbreitet. Unwahrscheinlich, dass so etwas im Kundenkontakt verwendet wird.
Sie als eindeutigen Inhaber zu verifizieren
Das wäre zwar mit einem Ausweisdokument oder einer notariell beglaubigten Kopie eines solchen möglich, aber nicht mit ein paar Eingaben in einer Website. Übrigens könnte bei solchen Vorwänden in Zukunft den Phishern der „elektronische Personalausweis“ sehr entgegenkommen, weil er die Idee einer Identitätsprüfung über eine Website plausibler macht. Eine von technisch unbeleckten Innenministern eingeführte „Sicherheit“ über ein maschinenlesbares Dokument könnte also der organisierten Kriminalität direkt zuarbeiten und für weniger Sicherheit sorgen.
Bitte klicken Sie auf "Konfliktlösungen"
So etwas würde – wenn es das gäbe – vermutlich in einer Weise benannt, die nicht beim Kunden den Eindruck eines „konfliktträchtigen“ Daseins als Kunde erweckt. Ich möchte den Spammern, die hier mitlesen, jetzt aber keine Formulierungshilfe geben… 😉
Dort ist ganz genau beschrieben, weshalb wir diese Prüfung durchführen
War in der E-Mail etwa kein Platz mehr dafür?

Es ist also immer noch möglich, trotz namentlicher Ansprache durch entspanntes, gründliches Lesen zu erkennen, dass es sich mit hoher Wahrscheinlichkeit nicht um eine E-Mail von PayPal handelt.

Wenn man dann noch das unbedingt empfehlenswerte Quäntchen Vorsicht aufbringt, vor dem Klick auf einen Link in die Statuszeile seiner Mailsoftware zu schauen, wohin dieser Link überhaupt geht, fällt auf, dass er nicht in die PayPal-Website geht, sondern zum mir bislang unbekannten URL-Kürzer nvlx (punkt) de. PayPal hat – im Gegensatz zu kriminellen Spammern – keinen objektiven Grund, seine eigene Domain in einer E-Mail auf diese Weise zu verschleiern, so dass es sich um ein sehr deutliches Alarmsignal handelt.

Über nvlx (punkt) de gibt es dann eine Weiterleitung in die Domain check (strich) p25 (punkt) net, wo man in einer „liebevoll“ nachgemachten PayPal-Seite gegenüber „PayPal“ lauter Daten angeben kann, die PayPal schon lange kennt – und die in der Spam versprochene Erklärung, warum man das überhaupt tun sollte, gibt es dort natürlich nicht. Inwieweit auf diese Weise eine „Identität“ überprüft werden kann, gehört zu den Fragen, die jeder aufgeweckte Dwölfjährige beantworten kann: Gar nicht.

Einmal ganz davon abgesehen, dass PayPal niemals E-Mails mit der Aufforderung versendet, irgendwelche Bullshit-Verifizierungen zu machen.

Aber es bleibt festzuhalten: Spam mit namentlicher Ansprache ist wesentlich gefährlicher als anonym formulierte. Seit dem ersten personalisierten PayPal-Phishing, das mir untergekommen ist, haben die Spammer eine Menge dazu gelernt. Und sie werden mehr dazulernen, das ist sicher. Sie leben schließlich davon, dass möglichst viele Menschen auf ihre Spam hereinfallen.

Benachrichtigung

Mittwoch, 10. Juli 2013

Abteilung: Zu doof zum Spammen…

Die Mail hat den gefälschten Absender noreply (at) paypal (punkt) de und den unverfänglichen Betreff „Benachrichtigung“.

So weit der gute Teil daran. Natürlich ist der Absender gefälscht, und die Mail hat den Serverpark von PayPal nicht einmal aus der Ferne gesehen, sondern wurde von der IP eines mittelgroßen Dienstleisters aus den Niederlanden versendet. Und weil der Spammer ein bisschen blöd war, ganz so, wie Spammer es meistens sind, steht da auch nicht meine Mailadresse als Empfänger drin, wie dies bei jeder Mail von PayPal der Fall wäre – stattdessen hat der Spammer einfach alle Adressen als BCC: eingetragen. So musste er nicht so lange mit einem Skript rummachen, das für jede Mailadresse einzeln über SMTP eine Mail versendet, sondern wälzte diese Aufgabe auf den Mailserver ab.

Aber das ist Spamalltag, in seiner Dummheit so alltäglich, dass ich es sonst kaum erwähne.

Hier bleibt mir aber keine andere Wahl, als diese Kleinigkeiten zu erwähnen, denn diese minderbemittelte Kurzwelle von Spammer hat bei diesem E-Müll etwas… ähm… nicht ganz so Unwesentliches vergessen: In der Spam fehlt der komplette Text.

„Macht aber nichts“, sagt sich Mitmensch Dumm in seinem Hohlraum, der dort ist, wo normale Menschen ein Hirn haben, „beim nächsten Mal mache ich es richtig. Vielleicht. Denn wenn ich mein Gestrokel auch noch testen würde, bevor ichs aufs Internet loslasse, käme ich ja gar nicht mehr dazu, das ganze ergaunerte Geld auszugeben“.

Informationen bezüglich Ihres PayPal-Kontos

Freitag, 5. Juli 2013

Endlich habe ich auch einmal eine Mail mit einer Klarnamen-Ansprache – und ich kann wegen der verwendeten Mailadresse ganz genau sagen, wo dieser Name herkommt: Er kommt aus dem Impressum einer Website. Die Mailadresse wird von mir an keiner anderen Stelle verwendet.

Die Daten für die Mails mit namentlicher Ansprache scheinen also wirklich aus diversen Quellen zusammengeführt zu werden. Eine Quelle sind dabei gesetzlich erzwungene Angaben auf Websites. Oder, um es mal etwas schärfer zu sagen: Die absurde, in der BRD geltende Impressumspflicht auch auf privaten Websites arbeitet direkt der organisierten Internet-Kriminalität zu. Ob sie darüber hinaus für irgendjemanden irgendeinen Vorteil hat? Außer vielleicht für Abmahnanwälte und sonstige Juratrolle, die nicht extra whois tippen müssen, um eine ladefähige Anschrift zu erhalten?

Ach! 🙁

Ich bitte zu beachten, wie gut diese Phishing-Mail formuliert wurde. Auch ihr Layout entspricht dem, was ein PayPal-Kunde gewohnt ist. Ich halte diese Spam für sehr gefährlich.

Sehr geehrter Herr Elias Schwerdtfeger,

In der Tat, so heiße ich!

im Rahmen unserer aktuellen Sicherheitsprüfungen haben wir bezüglich Ihres PayPal-Kontos einige Unstimmigkeiten entdeckt. Um alle Unstimmigkeiten zu klären, ist es nötig Sie als eindeutigen Inhaber zu ermitteln.

Moment mal, ihr könnt mich anmailen und ihr sprecht von „meinem Konto“, aber ihr haltet es für nötig, mich als „eindeutigen Inhaber“ zu ermitteln. Wegen irgendwelcher nicht einmal angedeuteter „Unstimmigkeiten“ Das klingt jetzt aber doof und wenig überzeugend. Man könnte auch von einer „Unstimmigkeit“ sprechen…

Wie geht es jetzt weiter?

Na, ist doch klar: Ich lösche den Müll. Aber nein, das kann ein Spammer mir doch nicht empfehlen

Bitte klicken Sie auf „Konfliktlösungen“. Dort ist ganz genau beschrieben, weshalb wir diese Prüfung durchführen und welche Informationen wir von Ihnen benötigen.

Konfliktlösungen

Wer auf den Link – der übrigens mit CSS im Stile einer Schaltfläche gestaltet wurde – klickt, landet nicht auf der PayPal-Website, sondern auf einer Site unter der Domain paypal (strich) konflikt45920 (punkt) net.

Die Phishing-Seite ist inzwischen vom Netz. Man hätte dort – genau wie bei früheren Versionen der Phishing-Masche – Gelegenheit erhalten, Kriminellen die Login-Daten zum PayPal-Konto und im zweiten Schritt alle für einen Betrug erforderlichen Kreditkartendaten zu geben. Die Frage, warum man Daten noch einmal eingeben soll, die PayPal schon längst bekannt sind, soll man sich dabei natürlich nicht stellen. Schon nach dem angeblichen „Login“ können die Verbrecher das PayPal-Konto beliebig missbrauchen.

Wer darauf reingefallen ist, sollte sofort sein Passwort ändern und sich mit PayPal in Verbindung setzen. Wer im folgenden Schritt Kreditkartendaten angegeben hat, sollte ebenfalls sofort Kontakt mit seiner kontoführenden Bank aufnehmen und seine Kreditkarte sperren lassen.

Vielen Dank für Ihr Verständnis und Ihre Mithilfe in dieser Angelegenheit.

Herzliche Grüße,
Ihr PayPal-Team

Das ausgesprochen patzig und formelhaft wirkende „vielen Dank“ in einem solchen Kontext ist die letzte Schwäche dieser Phishingmail.

Copyright © 1999-2013 PayPal. Alle Rechte vorbehalten. PayPal (Europe) S.à r.l. et Cie, S.C.A., Société en Commandite par Actions. Eingetragener Firmensitz: 22-24 Boulevard Royal, L-2449 Luxembourg RCS Luxembourg B 118 349.

Nein, diese Spam kommt nicht von PayPal. Aber es ist eine verdammt gute Phishing-Mail, auf die viele arglosere Menschen hereinfallen können.

Übrigens: Würde PayPal (und jeder andere Dienstleister) dazu übergehen, alle seine Mails digital zu signieren, so dass jeder Empfänger in die Lage versetzt wäre, sich davon überzeugen zu können, dass Mails wirklich von PayPal kommen und inhaltlich unverändert sind; würde PayPal (und jeder andere Dienstleister) einen solchen Schritt mit Aufklärung und Unterstützung seiner Kunden in Sachen PGP begleiten, so dass nach kurzer Zeit wenigstens jeder Kunde von dieser Möglichkeit gehört hat… ja, dann würde dem Phishing ganz schnell das Wasser abgegraben, und niemand würde diese Form der Kriminalität vermissen, außer vielleicht drei Handvoll Verbrecher, die nur ihre Mutter liebhaben kann. Aber vermutlich ist PayPal (und jeder andere Dienstleister) mit dem Einsatz einer seit fünfzehn Jahren verfügbaren Technik überfordert und bedarf der kompetenten technischen Unterstützung, und vermutlich ist wegen der Wirtschaftskrise nicht das Geld dafür übrig, kompetente Fachleute für die Implementation einer kryptografischen Signatur der versendeten E-Mail zu bezahlen. Dass PayPal (und jedem anderen Dienstleister) die Kunden und ihre möglichen finanziellen Schäden scheißegal sind, möchte doch niemand annehmen, oder?

Das sähe ja wie Kundenverachtung aus…

Kontoinformаtionen аktuаlisieren

Sonntag, 9. Juni 2013

Absender Paypal mietze911 (at) gmx (punkt) net

Das ist bestimmt wieder eine echte Qualitätsspam! 😀

Natürlich kommt diese Mail nicht von Paypal. Und natürlich ist dieser Absender gefälscht. Aber wenn man schon einen Absender fälscht, könnte man doch eigentlich auch eine halbwegs überzeugende Adresse nehmen, oder? Zu kleinen intellektuellen Leistung dieser Überlegung war der dumme Spammer entweder nicht willens oder nicht imstande.

Lieber Kunde,

Aber so ein lieber Kunde!

Wir аrbeitet [sic!] fortlаufend аn der Gewährleistung der Sicherheit. Dаzu werden die Konten in unserem System regelmäßig überрrüft.

Vor meinem inneren Auge wuselt die „Abteilung für die Gewährleistung der Sicherheit“ ameisenhaft durch den Serverpark PayPals und prüft einfach anlasslos immer wieder zyklisch alle Konten durch. Mit einem Sicherheitsgewährleistungsprüfgerät.

Kürzlich hаben wir Ihr Konto geрrüft und benötigen weitere Informаtionen, dаmit wir Ihnen einen sicheren Service аnbieten können.

Leider sind die Prüfungen so gut, dass man als Kunde etwas davon mitbekommt. Man bekommt nämlich tolle Mails von GMX… sorry… „PayPal“, in denen man dazu aufgefordert wird, „PayPal“ noch einmal lauter Dinge zu sagen, die PayPal schon längst weiß. Vermutlich wird die Datenbank von PayPal zur „Gewährleistung der Sicherheit“ einmal ratzekahl durchgelöscht – nur die Kontostände bleiben erhalten. Und wenn man das nicht tut…

Solаnge uns diese Informаtionen nicht zur Verfügung stehen, ist Ihr Zugаng zu vertrаulichen Kontofunktionen eingeschränkt. [sic!]

…wird der Zugang zu vertraulichen Kontofunktionen eingeschränkt. Ob die wohl so vertraulich sind, dass noch niemand etwas davon mitbekommen hat?

Wir möchten Ihren Zugаng schnellstmöglich wiederherstellen und entschuldigen uns für diese Unаnnehmlichkeit.

Klicken Sie bitte hier um diese Beschränkung аufheben zu können

Der Link führt natürlich nicht zu paypal (punkt) de, sondern auf die Domain 6qt3p6kz (punkt) pe43 (punkt) com, die gleich weniger vertrauenswürdig aussieht. In der URI ist die Base64-codierte Mailadresse des Empfängers enthalten, damit die Spammer auch wissen, dass die Mail ankommt – und um diese Mailadresse in der nach einer Weiterleitung erscheinenden, „liebevoll“ nachgebauten PayPal-Loginseite einzutragen¹:

Screenshot der PayPal-Phishingseite mit der eingetragenen Mailadresse

Natürlich habe ich mir für meinen Test erlaubt, eine andere Mailadresse anzuhängen².

So braucht man nur noch sein Passwort einzugeben und auf „Einloggen“ klicken, um den Verbrechern vollen Zugriff aufs PayPal-Konto zu gewähren.

Aber warum, zum Henker, warum sollte man das tun?

Wаrum ist mein Kontozugriff eingeschränkt?

Ihr Kontozugriff wurde аus dem folgenden Grund eingeschränkt:
Wir möchten überрrüfen, dаß sich niemаnd ohne Ihre Erlаubnis Zugriff zu Ihrem Konto verschаft hаt.

Ach so, deshalb.

Coрyright © 1999-2013. аlle Rechte vorbehаlten.

Eine Spam (oder auch jede gewerbliche E-Mail), die deklariert, dass sie irgendjemandes „geistiges Eigentum“ ist, wirkt gleich mindestens eine Größenordnung lächerlicher – oder wird so ein Hinweis neuerdings auch unter jeden Brief, jeden Kontoauszug, jede Reklame gestempelt?

¹Grundsätzlich ist von jedem Klick in eine Spam abzuraten, denn die Seiten der Kriminellen sind immer gefährlich. Den Screenshot habe ich mit einem Browser in einer virtuellen Maschine gemacht. Eine alternative und sehr sichere Möglichkeit ist die Verwendung eines Webdienstes zum Anfertigen von Screenshots – wer neugierig ist, kann sich damit leicht einen Eindruck verschaffen, ohne dass Kriminelle im Browser rummachen können.

²Wer noch nicht weiß, wie das geht: man 1 base64…

Konto-Status

Donnerstag, 2. Mai 2013

Leer?

PayPal

Ach nein, die schon wieder. Heute sogar mit Link auf die richtige PayPal-Seite, weil das Phishing stattfindet, indem man den Anhang im Browser öffnet, ausfüllt und die Daten an Verbrecher sendet. Allerdings hat diesmal – anders als noch vor ein paar Wochen – auch der Deutschexperte der Phisher einen Blick auf den Text geworfen und den gröbsten Sprachmüll daraus entfernt.

Lieber PayPal Kunde,

Lieber Unbekannter,

Aufgrund der jüngsten betrügerischen Aktivitäten haben wir ein neues Online-Sicherheitssystem für den maximalen Schutz der persönliche Daten unserer Kunden gestartet.

wir nennen uns PayPal. Und wir haben eine technische Änderung durchgeführt. Wir haben jetzt ein neues Online-Sicherheitssystem, das funktioniert, indem man eine Mailadresse und ein Passwort eingibt – also genau so wie das alte.

Nach dieser Tatsache, wird Ihnen angeboten, ihr PayPal-Konto zu aktualisieren.

Und weil wir so eine große, unwälzende und vor allem fantastische technische Änderung gemacht haben, haben sie ein Problem und bekommen von uns das Angebot, etwas tun zu müssen. Tatsache ist, dass das eine der dümmsten „Begrüdungen“ ist, die mir als Phisher einfallen konnten. Oder sind sie schon einmal mit ihrem Personalausweis zur Sparkasse gegangen, weil dort eine interne Software angepasst wurde?

Um Ihr PayPal-Konto zu aktualisieren, liegt Ihnen in Ihrer E-Mail Adresse ein Formular zur Verfügung.

Auch mein Deutschexperte weiß leider nicht, wie man in einigermaßen verständlichen und wohlklingendem Deutsch beschreibt, dass die Mail einen Anhang hat. Er ist halt genau so ein Experte wie ich und…

Bitte laden Sie das Formular aus, rufen Sie über Ihren Internet-Browser und folgen Sie den Anweisungen auf dem Bildschirm.

…deshalb der Meinung, dass „ausladen“ der richtige Terminus für das Speichern eines Mailanhanges ist.

Hinweis: Das Formular muss in einem modernen Browser geöffnet werden, dassJavaScript aktiviert hat. (z.B. Internet Explorer, Mozilla Firefox).

Ich bin ja selbst so ein Spezialexperte. Deshalb habe ich das Wort „JavaScript“ mit dem Download-Link auf die Laufzeitumgebung für Java verlinkt. Das klingt so ähnlich, und ich habe mir leider nicht genug technisches Verständnis angeeignet, um eine im Browser laufende Skriptsprache von einer plattformunabhängigen Programmiersprache unterscheiden zu können. Das macht aber nichts, denn wer meiner holprig formulierten Spam Glauben schenkt, der weiß so etwas auch nicht.

Warum das mit dem JavaScript so wichtig ist? Na, weil ich lieber nicht direkt in das angehängte HTML-Formular reinschreibe, wo die eingegebenen Daten schließlich hingehen. Solche Betrugsseiten sind ja sonst in Windeseile bei jedem Spamfilter dieser Welt bekannt, und mein Betrugsversuch käme gar nicht mehr bei den Opfern an. Stattdessen drücke ich mich lieber ein bisschen indirekter aus:

Ausschnitt aus dem Anhang der Spam mit verborgener Zieladresse für das HTML-Formular

Wer das „dechiffriert“, stellt fest, dass die Daten nicht an PayPal gehen, sondern an die URL http (doppelpunkt) (doppelslash) familyaffair (punkt) co (punkt) za (slash) admin (slash) logout.php in der TLD Sambias. Da hat mein krimineller Kollege von den Crackern nebenan eine Sicherheitslücke ausgenutzt und diesen Server verwenden wir jetzt eben nach Herzenslust für unsere kriminellen Geschäftchen.

[Den Betreiber der Website habe ich eben mit einer Mail unterrichtet. Ich hoffe mal vorsichtig, dass der Mailserver dort nicht auch kompromittiert ist und dass nur eine Sicherheitslücke im dort verwendeten CMS für den Upload einer Datei ausgenutzt werden konnte.]

Nach Abschluss dieser Phase wird die Aktualisierung Ihres PayPal-Kontos normal funktionieren.

Nachdem sie sich nicht darüber gewundert haben, dass „PayPal“ lauter Daten von ihnen wissen will, die PayPal längst weiß und deshalb brav alle Daten zu Kriminellen übermittelt haben, wird ihr PayPal-Konto so gut funktionieren, wie es vorher auch funktioniert hat.

Wir entschuldigen uns für die Unannehmlichkeiten und danken Ihnen für Ihre Zeit.
Für weitere Informationen kontaktieren Sie bitte den Kundenservice.

Wir tun höflich und sind Phishing-Arschlöcher.

Mit freundlichen Grüßen,
PayPal-Team.

Mit mechanischem Lächeln
Dein Phishing-Dummspammer

Copyright © 1999-2013 PayPal. Alle Rechte vorbehalten.

Natürlich wird für jede E-Mail ein Urheberrecht deklariert. Einfach, weil das so irre beeindruckend klingt. Und so professionell.

PayPal (Europe) S.à r.l.et Cie, S.C.A.
Société en Commandite par Actions
Registered office: 22-24 Boulevard Royal, L-2449 Luxemburg
RCS Luxemburg B 118 349
PayPal Email ID PP59

Nein, PayPal hat mit der Mail nichts zu tun…

Dieses kleine Meisterwerk des Phishings ist eine Einsendung von I. M.-S., die es nicht nur mit Mails versteht, eine einfache Spamdose sehr glücklich zu machen. Danke nochmal.

Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.