Informatives zur Spam

Hier werden Beiträge gesammelt, die nicht einfach nur eine Spam behandeln, sondern von eher allgemeinem und informativen Charakter sind, damit solche Texte nicht in der Flut der täglichen Spam untergehen. Dies geschieht auf Anregung meines Lesers Cassiel. Natürlich steht ein spezieller RSS-Feed für diese Inhalte zur Verfügung.

Wichtige Kundendurchsage

Mittwoch, 29. März 2017

Vorab: Diese E-Mail kommt nicht von der Sparkasse. Es ist eine Spam. Die Sparkasse schreibt solche E-Mails nicht. Der Absender…

Von: Sparkassen-Finanzgruppe <noreply-65454@sparkassen-finanzgruppe.de>

…ist gefälscht. Nicht darauf oder auf ähnliche Spam reinfallen! Alle Daten, die nach einem Klick auf der verlinkten Website eingegeben werden, gehen an Kriminelle, nicht an die Sparkasse.

Wichtige Kundendurchsage
Datum: 26.03.2017

[Die Spam ist vom letzten Sonntag, also schon drei Tage alt.]

Hui, eine „Kundendurchsage“. Da fühlt man sich ja wie im Supermarkt, wenn das konsumfördernde Bandgedudel von einer scharfen und deutlich lauteren Stimme unterbrochen wird: „Bitte beachten sie auch unser Frischfleischangebot des Tages“ nebst Ansage der verbilligten Preise für das Gammelfleisch, das gerade ganz schnell raus muss.

Genau die Vorstellung, die an eine Sparkasse erinnert.

Und, was wird jetzt durchgesagt?

Guten Tag Vorname Nachname,

Erstmal der Name. Im Original stand hier der Vorname und der Nachname des Empfängers. Was dort allerdings nicht stand, war die Kontonummer, um die es geht – denn gar nicht so wenige Menschen unterhalten mehrere Bankkonten. Aber woher sollte der Spammer eine Kontonummer wissen? Die ist doch bei den großen Datenschleudereien der letzten Jahre nicht bekannt geworden. Also kann er keine Kontonummer nennen.

Merke: Wenn ein Kreditinstitut eine Mitteilung zu einem Konto macht, dann steht immer die betreffene Kontonummer dabei. Wenn die Kontonummer nicht erwähnt wird, handelt es sich entweder um Spam oder um Reklame ihres Kreditinstitutes, also um dumme Kommunikationsversuche, die ohne weitere geistige Anstrengung und Lebenszeitvergeudung gelöscht werden können.

in den nächsten Tagen erfolgt eine Aktualisierung unserer Sicherheitsnetzwerke bezüglich des Online-Bankings.

Schön, aber was habe ich damit zu tun? Die Herstellung der Sicherheit ist genau so eine Angelegenheit der Bank wie der Aufbau und die Unterhaltung von Filialen und die technische Vorsorge, dass man sich am Geldautomaten nicht mit einem kleinen Trick den Jackpot im Form einer zügigen Ausgabe sämtlicher bunter Läppchen ziehen kann. Der Kunde bekommt von solchen Dingen nichts mit. Warum auch? Er hat ja auch nichts damit zu tun.

Dabei wird insbesondere die Gewährleistung Ihrer Sicherheit eine große Rolle spielen.

Schön, aber was habe ich damit zu tun? Ach, ich wiederhole mich. 😉

Damit die Aktualisierung allerdings bei Ihnen ausgeführt werden kann, ist eine Bestätigung Ihrer Daten erforderlich, um die Sicherheitsstandards zu erfüllen.

Aha, das funktioniert jetzt angeblich nur, wenn ich gegenüber der Spaßkasse Daten „bestätige“, die die Spaßkasse längst hat. Es ist der Spaßkasse nicht möglich gewesen, sich selbst darum zu kümmern, obwohl die Daten bei der Spaßkasse vorliegen. Und es ist völlig unklar, bei wem dadurch welcher „Sicherheitsgewinn“ entstehen soll, denn es ändert sich ja nichts an der Datenhaltung der Spaßkasse, wenn man dort längst bekannte Daten noch einmal eingibt.

Diese völlig unlogisch klingende und von einem Menschen mit nur durchschnittlichem technischen Verständnis als lachhaft empfundene Behauptung der Spaßkasse ist der klassische Bullshit-Grund, den Phisher in ihren Spams anführen, um den Empfängern zu erklären, warum sie jetzt ihre ganzen Bankdaten noch einmal in einer Website angeben sollten.

Wir leben zurzeit im Jahr 2017. Die erste derartige Phishing-Spam auf Bankkonten mit Online-Banking habe ich in der ersten Hälfte der Nuller Jahren gesehen. Dieser internetgetriebene Trickbetrug hat einen enormen Bart. Es ist eigentlich kaum zu glauben, dass noch jemand darauf hereinfällt – aber ich habe erst vor ein paar Wochen einen rd. sechzigjährigen Mann durchschnittlicher Intelligenz (also wahrlich kein Dummkopf!) erlebt, der in diesem Jahr auf eine derartige Phishing-Spam hereingefallen ist und der Organisierten Kriminalität neben den für einen kriminellen Identitätsmissbrauch hinreichenden persönlichen Daten einen vollen Zugriff auf sein Postbank-Konto gegeben hat. Er hatte tatsächlich vorher nicht ein einziges Mal vom Phishing und den dabei angewendeten Methoden gehört. Sicher, wenn er auf der Postbank-Website danach gesucht hätte, hätte er auch deutliche, allgemeinverständlich formulierte Hinweise in einer Übersicht technischer Begriffe gefunden [Dauerhaft archivierte Version der verlinkten Seite in der Postbank-Website]. Aber: Das Wort war für ihn ein Fremdwort, das er noch nie gehört hatte, bis er selbst zum Opfer der Kriminellen wurde. Wie hätte er auf die Idee kommen sollen, danach zu suchen?

Die Überheblichkeit der „Wissenden“ ist hier völlig fehl am Platze. Besser wären Versuche, jene zu erreichen, die noch nicht wissen. Versuche die man so lange wiederholt, bis jeder weiß, was Phishing ist und wie man sich davor schützt. Die Postbank scheint sich keine besondere Mühe gegeben zu haben, ihn als ihren Kunden darüber aufzuklären (zum Beispiel mit einer kleinen Broschüre, die zusammen mit der normalen Post immer wieder an alle Kunden versendet wird und die von ihrem Design her nicht nach müllwürdiger Reklame mit hochglanzlächelnden Glücksmotiven zum Postbank-Gelb, sondern nach wichtiger, Aufmerksamkeit erfordernder, lesenswerter Information aussieht). Vom Journalisten erwarte ich ja gar nicht mehr, dass er sich im mies bezahlten Ringen um contentindustrielle Werbeplatzvermarktung auch noch um die lebenspraktische Bildung seiner Leser bemüht, aber ein Kreditinstitut dürfte enorme Verluste durch den internetgetriebenen Betrug aller Art haben und sollte allein deshalb ein deutliches Eigeninteresse entwickeln.

Für die Verbrecher ist diese Passivität derer, die eigentlich ein Interesse an der Bekämpfung des Phishings haben müssten, ein unglaublicher Glücksfall. Sie können auch im Jahre 2017 immer noch ein paar Millionen Spams versenden und sich darauf verlassen, das sie hinterher zwanzig bis dreißig Bankkonten und Identitäten anderer Menschen für ihre Betrugsgeschäfte zur Verfügung haben. Die angebliche „Aufklärung“ der Kunden ist ein Feigenblatt, das nur jene erreicht, die schon ein gewisses Wissen um kriminelle „Geschäftsmodelle“ aus anderer Quelle erworben haben.

Klicken Sie diesbezüglich bitte auf die untenstehenden Fläche.
Sie werden daraufhin zu einer sicheren Seite der Sparkassen AG weitergeleitet. Weitere Schritte werden Ihnen auf der Seite mitgeteilt.

Zum Online-Banking

So so, „diesbezüglich“. Ein schönes Wörterbuch hat er, der Phisher.

Dieser – hier mit einem „Click here“ eingeleitete – Teil ist das wichtigste Erkennungszeichen für Phishing. Es soll auf einen Link in einer E-Mail geklickt werden (manchmal auch ein Anhang einer E-Mail geöffnet und ausgefüllt werden), um anschließend irgendwelche Daten zu „bestätigen“.

Genau das sollte man NIEMALS tun!

Wenn man es sich angewöhnt, die Website seiner Bank niemals über einen Link aus einer E-Mail aufzurufen, sondern sie immer direkt im Browser öffnet, kann man gar nicht auf Phishing hereinfallen. Die Webbrowser haben dafür praktische Lesezeichen, so dass man die URL seiner Bank nicht immer wieder von Hand eingeben muss.

Wenn man nach Empfang einer derartigen Mail – und es gibt Phishing-Mails, die deutlich besser als die hier vorliegende gemacht sind – die Website seiner Bank im Browser aufruft und sich dort wie gewohnt anmelden kann, ohne irgendeinen Hinweis zu sehen, dass man etwas tun muss, hat man einen Betrugsversuch erfolgreich abgewehrt. Wenn ein solcher Betrugsversuch gelingt und es auch zu einem Missbrauch der Identität durch die Verbrecherbanden kommt, kann das dem Betroffenen leicht mehrere Lebensjahre mit allerlei Ärger verhageln. Denn die Polizei schläft nicht, und wer als erstes ermittelt wird und nach einer Anklage wegen Betruges als Beschuldigter zur Aussage anreisen muss, ist klar: Der, dessen Name, Anschrift, Konto und Geburtsdatum verwendet wurde. Nebenbei darf man sich dann auch noch mit der Schufa streiten. Und mit allerlei Anwälten und Inkasso-Klitschen, die beidesamt sehr scharfe Briefe schreiben. Und dass es im Rahmen von Ermittlungen in Sachen gewerbsmäßiger Computerbetrug auch einmal zu einer Durchsuchung und Beschlagnahme von Geräten am Arbeitsplatz kommt und dass man das dann anschließend seinen Kollegen und seinem Chef erklären darf, ist gar nicht so selten. 🙁

Niemand will diese Art von Ärger. Deshalb ruft man die Website seiner Bank (und die von eBay, Amazon, PayPal und dergleichen) niemals auf, indem man in eine E-Mail klickt.

Der persönliche Aufwand, den man mit dieser sehr einfachen Vorsichtsmaßnahme hat, ist beinahe gar keiner: Man muss nur einmal die Startseite seiner Bank als Lesezeichen im Webbrowser speichern, fortan dieses Lesezeichen verwenden und um jeden Preis vermeiden, in E-Mails zu klicken, die aussehen, als kämen sie von der Bank. Es ist nicht einmal ein Komfortverlust. Aber es ist ein riesiger Sicherheitsgewinn – der sogar noch in solchen Fällen wirkt, wenn die Website der Bank einmal eine üble XSS-Sicherheitslücke haben sollte, die es Verbrechern ermöglicht, über einen präparierten Link eigenen Code im Kontext der Website der Bank auszuführen. (Nein, das ist keine rein theoretische Gefahr, sondern es ist schon einmal passiert.)

Und auch, wenn Wissende darüber lachen, sage ich es hier lieber noch einmal ganz deutlich: Antivirus-Programme helfen nicht gegen Phishing. Es gibt im Phishing keinen Schadcode, der eine Gefahr für die Computersicherheit darstellt. Phishing zielt nicht auf den Computer, sondern auf die Psyche, das Unwissen, die Unsicherheit oder die Angst des Anwenders.

Vielen Dank für Ihre Geduld und Ihr Verständnis in dieser Angelegenheit.

Vielen Dank für den pseudohöflichen Dank für Haltungen, die ich nicht habe. Vor meinem Arsch ist auch kein Gitter!

Diese E-Mail wurde automatisch generiert. Bitte antworten Sie nicht darauf.
Beachten Sie bitte, dass Ihre Mitteilung an uns via E-Mail nicht verschlüsselt wird.

Natürlich wurde die Spam automatisch generiert. Und ein paar Millionen weitere davon. Und natürlich ist eine E-Mail, die man nicht explizit selbst verschlüsselt, unverschlüsselt. Das heißt, dass sie…

Eine Kenntnisnahme durch Dritte ist daher nicht auszuschließen.

…jeder mitlesen (und sogar verändern) kann, weil sie offen wie eine Postkarte durch das Internet befördert wird. Dass Kreditinstitute mit ihrem doch etwas vertraulichen Geschäftsfeld auch im Jahre 2017 immer noch nicht dazu imstande sind, einen PGP-Schlüssel für die E-Mail-Kommunikation mit ihnen zu hinterlegen, ist auch so ein Hassthema von mir. Niemand würde einen Kontoauszug auf einer Postkarte akzeptieren, niemand würde eine Anfrage nach einem Beratungsgespräch wegen eines Darlehens oder einer Geldanlage auf einer Postkarte verfassen. Aber genau das muten Banken – und zwar nach meinem Kenntnisstand: Sämtliche Banken in der Bundesrepublik Deutschland – ihren Kunden bei der E-Mail-Kommunikation mit Bankmitarbeitern zu.

© 2017 Sparkassen-Finanzgruppe GmbH

Urheberrecht auf eine E-Mail. Fast so wertvoll wie ein kleines Steak.

Handelsregisternr. HRB 91513B | USt-ID DE 214205098

Natürlich hatte die Sparkasse mit dieser Spam nichts zu tun.

Diese aktuelle Phishing-Spam ist ein Zustecksel meines Lesers B.S.

In eigener Sache

Dienstag, 28. Februar 2017

Zehn Jahre "Unser täglich Spam"

Heute vor genau zehn Jahren schrieb ich mein erstes Blogposting in diesem Blog – natürlich war das „Thema“ die Pest der damaligen Zeit, die Casino-Spam, die inzwischen selten geworden ist, weil sie von der Binäre-Optionen-Spam abgelöst wurde. Das „Geschäftsmodell“ ist allerdings genau das gleiche: Die Spammer kassieren Affiliate-Geld dafür, dass sie halbseidenen, abzockerischen oder gar offen betrügerischen Geschäftemachern neue Kunden zutreiben.

Auch ansonsten hat sich in den letzten zehn Jahren nicht viel verändert.

Noch immer ist Spam ein illegales „Geschäftsmodell“, das sich für die Spammer lohnt, denn noch immer gibt es genügend Menschen, die darauf hereinfallen und klicken, weil sie eine Mitteilung von einem anonym bleibenden Gegenüber erhalten haben. Spam ist für den Spammer billig. Sie lohnt sich schon, wenn nur ein paar Promille der Empfänger in der gewünschten Weise reagieren.

Noch immer sind Banken, Gewerbetreibende, Internet-Dienstleister und dergleichen nicht dazu übergegangen, ihre legitimen E-Mails digital zu signieren, um dem Empfänger die Möglichkeit zu geben, den Absender einer E-Mail jenseits jedes vernünftigen Zweifels sicher zu stellen. Diese Vorgehensweise ist meiner Meinung nach – wenn sie langfristig erfolgt und mit einer Aufklärung von Kunden und Nutzern einhergeht – die einzige Möglichkeit, den Phishing-Sumpf trockenzulegen, so dass diese moderne Form des Trickbetruges endlich Geschichte wird. Das ist angesichts der Tatsache, dass digitale Signatur von E-Mails keine obskure „Raketentechnologie“ ist und nicht einmal Geld kostet, erschreckend. Tatsächlich gibt es dafür nur eine Erklärung, und die widerspricht der Reklame der Banken, Gewerbetreibenden und Internet-Dienstleister diametral: Die Sicherheit der Kunden und Nutzer vor primitiven Betrügereien und den damit verbundenen finanziellen Schäden ist diesen Unternehmungen völlig gleichgültig.

Noch immer findet das Thema der Spam im Journalismus nicht das Maß an Beachtung, das es verdient, so dass viele Neulinge völlig unaufgeklärt ihr „Lehrgeld“ an mafiös organisierte Verbrecher bezahlen. Das, was ich vor ebenfalls zehn Jahren in die FAQ zu Unser täglich Spam schrieb, ist uneingeschränkt weiter gültig:

Fragen sie ihre Tageszeitung, warum es keine Informationen und Warnungen zu den jeweils aktuellen Phishing- und Spam-Wellen an auffälliger Stelle gibt. Das Internet ist schließlich keine Spielwiese der Nerds mehr, es ist eine Massenerscheinung, an der auch ganz gewöhnliche Menschen in verschiedener Weise Teil haben. Auch die Journaille muss unter solchen Umständen einen Beitrag zur Verbrechensverhinderung leisten. Jeder andere Trickbetrüger bringt es doch auch als Warnung in die Presse, warum also nicht ein gefährlicher Phisher, der bei Erfolg Menschen um tausende von Euros erleichtern und sogar an den Rand des persönlichen wirtschaftlichen Ruins bringen kann? Wenden sie sich an ihren bevorzugten Radio- oder Fernsehsender und fragen sie, warum es zwar Unwetterwarnungen gibt, aber keinen Hinweis auf gefährliche Schadsoftware, die ihren Weg über Spam auf die Rechner ganz gewöhnlicher Mitbürger findet und die diese Rechner in fernsteuerbare Zombies der Spam-Mafia verwandelt?

Das größte Problem im Zusammenhang der Spam ist die gefährliche Unwissenheit vieler Menschen. Das beste Mittel gegen Unwissenheit ist besonnene, den Fakten verpflichtete und hilfreiche Aufklärung.

In diesem Kontext finde ich es allerdings erfreulich, dass wenigstens das Landeskriminalamt Niedersachsen vor einigen Jahren damit begonnen hat, eine Informations- und Aufklärungssite über gängige Formen der Internetkriminalität zu pflegen. Sicher, ich habe daran auch einiges auszusetzen, aber es war ein wichtiger und lobenswerter Schritt in die richtige Richtung. Leider ist zu befürchten, dass viele, die es sehr nötig hätten, nicht rechtzeitig davon erreicht werden.

Noch immer ist es durchaus normal, dass Menschen, die von einem gewerbsmäßigen Internetbetrüger abgezockt wurden, sich zu ihrem Schaden auch noch des Spottes ihrer Mitmenschen erwehren müssen, wenn sie von ihrer Erfahrung erzählen. Spammer leben davon, dass Menschen auf ihren Betrug hereinfallen, und sie können sich dabei überraschend viel Mühe geben, in ihrer Mitteilung so seriös und glaubwürdig auszusehen, dass nicht nur ein Dummkopf darauf hereinfällt. Hochmut ist völlig fehl am Platze. Ein bisschen Hilfe nicht.

Tatsächlich wäre ich vor einigen Jahren beinahe selbst auf ein Phishing hereingefallen, wenn ich mir nicht eine Reihe von Verhaltensweisen angewöhnt hätte, die leider immer noch viel zu selten sind.

Das war im Kontext eines Crackerangriffes auf Unser täglich Spam, der erschreckend weit auf dem Server vorgedrungen war. Die Angreifer haben sogar Menschen aus meinem Bekanntenkreis angerufen, angemailt und angeIMst, um ihnen meine Passwörter zu entlocken, falls sie diese kennen – und unter den so von Verbrechern ausgequetschten Menschen ist nur einem etwas aufgefallen (so dass ich schnell davon erfahren habe und zum Glück weiteren Schaden begrenzen konnte), obwohl ich grundsätzlich nach Möglichkeit nur signierte E-Mail versende und niemals eine unsignierte E-Mail versenden würde, wenn es wichtig wäre. Ich konnte im Zuge dieses Angriffes nicht mehr abschätzen, was mein unsichtbares Gegenüber (Klingonen hätten gesagt, dass es „ehrenhaft“ kämpft) schon hat und kann. In genau dieser stressreichen Situation bekam ich eine 08/15-Phishingmail „von PayPal“, die mich natürlich sehr alarmierte. Was mich gerettet hat? Die einfache Angewohnheit, niemals in eine E-Mail zu klicken. Als ich ganz normal PayPal im Browser aufrief – es gibt dafür seit dem Mosaic Netscape 0.9 beta aus dem Jahr 1994 diese praktischen Lesezeichen – und bei dieser Gelegenheit flugs das möglicherweise kompromittierte Passwort änderte, wurde mir klar, dass es sich um Phishing handelte und dass das angebliche Problem einer von mir veranlassten, recht hohen Zahlung an ein obskures Unternehmen aus Russland gar nicht existierte.

Kurz: Unter bestimmten Umständen kann jeder auf so etwas hereinfallen. Ich selbst habe eine Phishing-Mail einmal kurz für „echt“ gehalten. Ist das ein Grund, über mich zu lachen? Wenn ja, dann tun sie sich keinen Zwang an! Es erleichtert ja, und leider tut es dies oft, ohne notwendige Denkprozesse anzustoßen, die zu mehr Vernunft im Alltag führen.

Und noch immer trainiert PayPal seine Nutzer und Kunden nicht darin, niemals in eine E-Mail zu klicken. Ganz im Gegenteil. Da ist das viele erfolgreiche Phishing auf PayPal-Konten nicht weiter überraschend – zumal PayPal noch immer darauf verzichtet, seine E-Mails an seine Kunden digital zu signieren.

Kurzum: Es gibt keinen Grund, inne zu halten und irgendetwas zu feiern.

Aber ich hatte weder die Absicht noch die Möglichkeit, etwas Nennenswertes zur Bekämpfung der Spam zu leisten.

Als ich heute vor zehn Jahren mit diesem Blog begann, habe ich mir das damalige WordPress-Standardlayout „Kubrick“ genommen, die Titelgrafik gegen „etwas mit Spamdosen“ ausgetauscht und beinahe nichts am Design verändert, um schnell loslegen zu können. Ich tat es in einer Zeit, in der ich jeden verdammten Tag zwischen zweihundert und vierhundert Spammails bekam. Das zumindest hat sich etwas gebessert – weil inzwischen ein Großteil der Betrugsnummern über Social-Media-Sites und Smartphone-IM der Marke „WhatsApp“ läuft, während im Postfach nur noch ein Rinnsal anstelle der früheren Flut ankommt. Was über „Facebook“ läuft, erfahre ich bestenfalls einmal aus zweiter Hand, denn ich bin immer noch nicht dazu bereit, das Angebot eines Unternehmens zu nutzen, das sein Geschäftsmodell mit illegaler und asozialer Spamwerbung aufgebaut hat. Das „Adressmaterial“ für die Spamwerbung wurde übrigens mit trojanischen Apps von Smartphones naiver Nutzer abgezogen. Inzwischen sind die Trojaner von Facebook oft so auf Smartphones vorinstalliert, dass man sie nicht mehr ohne Verlust der Gewährleistung deinstallieren kann, und erwachsene Menschen lassen sich diese kalte, enteignende Unverschämtheit gefallen oder finden sie sogar noch erfreulich.

Ich habe angefangen, über Spam zu bloggen, weil ich den täglichen Wahnsinn nicht mehr passiv hinnehmen wollte. Außerdem bereitet es mir Freude, die Dummheit der Spammer ans Tageslicht zu zerren und den Kriminellen hin und wieder einmal in ihre Suppe zu pinkeln. Dass es dabei zu kriminellen Angriffen gegen das Blog kommt, ist wohl unvermeidlich.

Immer noch verwendet Unser täglich Spam in seiner Standarddarstellung eine Bearbeitung des alten Standard-Themes „Kubrick“, die allerdings inzwischen erheblich ist. Das Blog wirkt optisch wie ein Anachronismus, und ich habe nicht die Absicht, das zu verändern. Mein einziges Zugeständnis an die veränderten Internetgewohnheiten vieler Menschen ist, dass ich für Smartphones und Tablets ein anderes, deutlich reduziertes Design für die gleichen Inhalte verwende. Zurzeit geht ein gutes Viertel der Zugriffe auf Unser täglich Spam von Smartphones aus. Es sind eben die Geräte, auf denen jetzt viele Menschen ihre Spam empfangen. Die Technik ist moderner, die tägliche Spam ist die gleiche, und sie scheint sich immer noch zu lohnen. 🙁

Ich wollte dieses Blog schon mehrmals einfach einstellen oder zumindest damit aufhören, es mit neuen Inhalten zu befüllen. Es gibt kein anderes Internetprojekt von mir, das ich so gern einstellen würde wie Unser täglich Spam. Meine Motivation ist gering geworden, die tägliche Spam ist die gleiche, und sie scheint sich immer noch… ich wiederhole mich.

In diesem Sinne hoffe ich, dass es nicht zu einem zwanzigsten Bloggeburtstag kommt.

Wer jetzt noch etwas Unterhaltung sucht und gerne lacht, der wandele heiteren Geistes durch die Hall of Shame, in der sich die narrengüldnen Glanzstücke zehnjährigens Bloggens über Spam finden. Ebenfalls sind jene spammigen Kommunikationsversuche, die ich unter dem Schlagwort „Dada“ abgelegt habe, oft von großem Unterhaltungswert.

Wer hingegen nichts dagegen hat, wenn ihm das Lachen richtig vergeht, schaue sich an, wie die Spammer und andere Verbrecher an ihre Daten kommen und sei sich gewahr, dass diese Vorfälle nur die Spitze des Eisberges sind.

Wie oft wurde ich schon ausgelacht, wenn ich anderen Menschen sagte, dass es nur einen Datenschutz gibt, und zwar den, den man selbst in die Hände nimmt, indem man keine Daten von sich preisgibt! Das Lachen erleichtert ja, und leider tut es dies oft, ohne notwendige Denkprozesse anzustoßen, die zu mehr Vernunft im Alltag führen.

Aber ich wiederhole mich…

Wie so oft.

Laufendes Phishing von Google-Mail-Accounts

Montag, 16. Januar 2017

Symbolbild: Wurm als Köder am Angelhaken Dies ist keine Spam, sondern ein Hinweis auf eine laufende Form des Phishings, auf die erstaunlich viele Menschen hereinzufallen scheinen – und natürlich die Aufforderung, nicht darauf hereinzufallen.

Wenn sie den Webmailer eines Freemail-Providers benutzen – ich empfehle ihnen übrigens dringend die Benutzung einer guten Mailsoftware – dort auf ein Bild oder einen Link in einer empfangenen E-Mail klicken und daraufhin aufgefordert werden, sich neu einzuloggen… bis dahin kennen sie das Muster sicher schon… dann achten sie nicht nur darauf, dass wirklich accounts.google.com in der Adresszeile ihres Webbrowsers steht, sondern auch darauf, dass diese Adresszeile nicht mit data: beginnt! [Der Link geht auf einen englischen Text.]

Technisch betrachtet haben die Phisher ihre Phishing-Seite nicht irgendwo im Web abgelegt, sondern einfach in Form einer Data-URL eingebettet, die sich in der Adresszeile des Browsers so präsentiert, dass ein täuschender Eindruck erweckt wird.

Von einer kommenden Ausweitung des Verfahrens auf andere Freemail-Anbieter, auf Social-Media-Sites und auf das Phishing von Bankdaten gehe ich aus.

Deshalb nochmal: Niemals Zugangsdaten in ein Browserfenster eingeben, dessen angezeigte Adresse mit data: beginnt! Noch besser und sicherer ist es freilich, wenn man sich niemals irgendwo anmeldet, nachdem man einen Link in einer Mail, einem Tweet oder in sonst etwas prinzipiell Spambarem geklickt hat, sondern stattdessen immer die Startseite des entsprechenden Webdienstes von Hand aufruft (Browser haben dafür eine praktische Lesezeichen-Funktion), um sich dort dann eventuell anzumelden. Wenn dabei auf einmal keine Anmeldung mehr nötig ist, hat man einen Phishing-Versuch abgewehrt. Diese an sich sehr einfache, aber leider etwas unbequeme Vorsichtsregel hätte übrigens auch diese neue Form des Phishings verhindert.

Hinweis via @benediktg@gnusocial.de

Heise Online desinformiert (manchmal) seine Leser

Samstag, 10. Dezember 2016

Dies ist keine Spam, sondern ein Hinweis auf eine gefährliche journalistische Desinformation durch Weglassen wesentlicher Information, die in dieser Form der Organisierten Internet-Kriminalität direkt zuarbeitet.

Wieder einmal wird Schadsoftware über (diesmal aufwändig) verseuchte Ads verbreitet. Und, was empfiehlt Heise Online seinen Lesern?

Schützen kann man sich gegen solche Angriffe eigentlich nur, indem man immer die aktuellen Versionen von Betriebssystem, Browser und Erweiterungen einsetzt

Natürlich ist das halb wahr, und deshalb als Unwahrheit auch so gefährlich. Ein aktueller Systemstand und aktuelle Software ohne bekannte Sicherheitslücken, die von Kriminellen ausgenutzt werden können, sind die Grundlage der Computersicherheit. Nur ein beseitigter Fehler ist ein guter Fehler.

Aber gegen Schadsoftware in Ads hilft vor allem anderen ein wirksamer Adblocker, der nicht nur diesen Transportweg an der Wurzel unterbindet, sondern dazu auch noch das gesamte Web viel genießbarer und schneller macht. Weil nahezu jeder Webbrowser-Angriff der letzten Jahre Javascript verwendete, empfehle ich zusätzlich einen guten, konfigurierbaren Javascript-Blocker, der es möglich macht, das Privileg einer Javascript-Ausführung gezielt an vertrauenswürdige Websites zu vergeben. Es ist einfach keine gute Idee, jedem anonymen Gegenüber die Möglichkeit zu geben, Programmcode im Browser auszuführen. Viele empfinden einen Javascript-Blocker allerdings als etwas „nervig“, zumal zurzeit sehr viele Websites teilweise aufdringlich dazu auffordern, Javascript zu gestatten, obwohl es keinen technischen Grund dafür gibt (und mit dieser Haltung ebenfalls die Organisierte Internet-Kriminalität fördern). Der Adblocker muss aber in jedem Fall sein, und er ist das genaue Gegenteil von „nervig“. 😉

Warum Heise Online das seinen Lesern nicht empfiehlt? Weil Heise Online über eingeblendete Reklame finanziert wird und eine solche, wirksame Empfehlung dieses Geschäftsmodell beeinträchtigen würde. So leistet die (leider legale) Reklame im Web und die trotz ihrer derzeitigen Allgegenwärtigkeit äußerst halbseidene Idee einer Monetarisierung von Websites durch Reklame aus allerlei Quellen einen Beitrag zum Erfolg der Schadsoftware.

Und nein: Das Antivirus-Programm hilft nicht! Die (für die Verbrecher aufwändig) über Ads verbreitete Schadsoftware ist meist der neueste Schrei der kriminellen Kunst und kann im Regelfall für mehrere Tage von den Antivirus-Programmen nicht zuverlässig erkannt werden.

Deshalb: Niemals einen Browser ohne Adblocker benutzen! Egal, was Journalisten sagen und schreiben! Es handelt sich um eine unverzichtbare Schutzmaßnahme. Wer darauf verzichtet, handelt verantwortungslos.

Das Landgericht Hamburg über Adblocker

Freitag, 2. Dezember 2016

Es folgt das Zitat des Jahres:

Die Internetnutzer haben ein schutzwürdiges Interesse an der Abwehr unerwünschter Werbung, an Schutz vor Schadprogrammen sowie an der Kontrolle über ihre Daten.

Begründung der Entscheidung des LG Hamburg in der Sache Spiegel Online gegen Eyeo

Und ich habe dem nichts hinzuzufügen. Außer die Aufforderung, immer an diese Feststellung einer an sich kaum der Rede werten Selbstverständlichkeit durch das Landgericht Hamburg zu denken, wenn ihr mit der teilweise sehr aufdringlich und regelmäßig völlig desinformativ dargebotenen Aufforderung auf Presseverlags-Websites konfrontiert seid, doch eure Adblocker abzuschalten. Adblocker sind und bleiben eine unverzichtbare und sehr wirksame Sicherheitssoftware zum Schutz des Computers und seiner Nutzer vor kriminellen Machenschaften beim „Surfen“ im Web.

Neu und super: Browser-Addon-Spam

Dienstag, 15. November 2016

Hier geht es nicht um eine Spam, sondern um einen Artikel bei Heise Online, dessen Lektüre ich dringend empfehle:

Einige beliebte Browser-Erweiterungen werden offenbar zur Verbreitung dubioser Werbeanzeigen missbraucht. Betroffen sind laut dem Web-Entwickler Chris White die Erweiterungen Live HTTP Headers, Inject jQuery, W3Schools Hider und HTTP Headers. Möglicherweise gibt es weitere, die bislang noch nicht entdeckt wurden

Die destruktive „Fantasie“ von Spammern, Menschen an den unerwartesten Stellen mit asozialer Spam zu belästigen, kennt nun einmal kein Ende – in diesem Fall wurden einige populäre Addons für den Webbrowser „Chrome“ in Spamschleudern umgebaut, welche die Spam in sämtliche aufgerufenen Seiten integriert haben. Aus Benutzersicht sah das so aus, als handele es sich hier um „normale Werbebanner“ innerhalb der besuchten Websites.

Gegen diese relativ neue Form der Spam gibt es nur ein Mittel: Aufmerksamkeit. Keine Addons verwenden, wenn man nicht genau weiß, zu welchem Zweck diese Addons dienen und welchen Nutzen man davon haben soll! Nicht mehr benötigte Addons wieder löschen! Keine unnötigen Experimente mit Addons! Wenn der Browser sich sonderbar verhält, alle Addons deaktivieren, danach jedes Addon einzeln aktivieren und schauen, welches der Addons für das sonderbare Verhalten verantwortlich sein könnte, um dieses zu deinstallieren (und nach Möglichkeit andere Menschen gut begründet und mit einer Beschreibung der eigenen Beobachtungen davor zu warnen, um spambasierten Geschäftsmodellen so schnell wie möglich den Strom abzustellen)!

Und nein, es handelt sich nicht um ein Problem des Chrome-Browsers; derartige Addon-Spam kann auf jedem modernen Browser auftreten. Auf dem Firefox ist vor einigen Tagen das Addon „Web of Trust“ in Verruf geraten, weil es sich offenbar um einen Trojaner handelt, der seinen Nutzer überwacht und trackt. Die mit diesem Trojaner gewonnenen Überwachungsdaten wurden an jeden verkauft, der es sich leisten konnte, den Preis dafür zu zahlen. Angesichts der Tatsache, dass „Web of Trust“ als Addon gegen kriminelle Machenschaften und zur Erhöhung der Computersicherheit angepriesen wurde, handelt es sich um ein ausgesprochen niederträchtiges und verachtenswertes Geschäftsmodell. Aber es macht klar, dass es bei keinem Addon eine Garantie dafür gibt, dass es „sauber“ ist. Der einzige Schutz besteht darin, so wenig Addons wie möglich zu verwenden und aufmerksam zu bleiben.

Es gibt nun einmal keinen möglichen Spamkanal, den Spammer nicht irgendwann nutzen werden. Dazu gehören leider auch die Addon-Schnittstellen der populären Browser. Spammer spammen. Und das, was mit derartiger Spam transportiert wird, ist immer gefährlich.

Warum „Adblock Plus“ sofort deinstalliert werden muss

Mittwoch, 14. September 2016

Dies ist keine Spam, sondern nur ein Link und eine dringende Leseempfehlung: Mobilegeeks – Adblock Plus verkauft nun Werbebanner.

Adblock Plus verkauft nun Werbeanzeigen, und zieht das Geschäft höchst professionell auf. Wie ein richtiges Werbenetzwerk, mit rund 100 Millionen potentiellen Betrachtern der angeblich „akzeptablen“ Werbung. Damit öffnet die Kölner Eyeo GmbH endlich ihr Visier und offenbart, worum es bei ihrem perfiden Geschäftsmodell tatsächlich geht: um ein richtig dickes Stück vom milliardenschweren Werbekuchen.

Es gibt zwar – schon im Interesse der Computersicherheit und des Schutzes der Privatsphäre – keine Alternative zur Benutzung eines wirksamen Adblockers im Webbrowser, aber es gibt sehr wohl Alternativen zu „Adblock Plus“ von der Eyeo GmbH, und diese sollten auch anstelle von „Adblock Plus“ verwendet werden! Denn ein Adblocker, der keine trackende Reklame aus Drittquellen ausfiltert, sondern sogar zusätzliche Ads vermarktet, schützt weder die Privatsphäre seines Nutzers vor Tracking und grenzkrimineller, vorsätzlich irreführender Reklame aus Ad-Netzwerken noch den Computer seines Nutzers vor Schadsoftware, die immer häufiger über Werbebanner von Ad-Netzwerken transportiert wird.

Einmal ganz davon abgesehen, dass der eigentliche Grund für die Installation eines Adblockers ein ganz anderer ist. Wer würde Kondome benutzen, die in der Fabrik mit Speziallöchern gelocht wurden, damit nur „akzeptable“ Kinder gezeugt werden? Aus dem gleichen Grund, aus dem man wirksame und dichte Kondome benutzt, benutzt man auch Adblocker, die wirklich Ads blocken. Alles andere ist Bullshit, Etikettenschwindel und… sorry… Nutzerverarschung.

Ich empfehle übrigens uBlock Origin.

Spam von Microsoft! Über den Desktop gelegt!

Sonntag, 3. Juli 2016

Microsoft – wir erinnern uns: das ist die Unternehmung, die schon 1997-1998 so „vorausschauend“ und „innovativ“ war, dass sie über die „Channel-Leiste“ des „Active Desktop“ in Windows 98 Reklame direkt auf den Arbeitsbildschirm bringen wollte – unterbricht die Arbeit unter Windows 7 für einen wichtigen Hinweis: „Greifen sie jetzt kostenlos zu und nehmen sie jetzt unser neues Betriebssystem Windows 10, bevor sie dafür viel Geld bezahlen müssen! Das ist so irre mega wichtig, dass ihre eigentliche Computernutzung kurz hinter diesen Reklamehinweis von uns zurücktreten muss und deshalb unterbrochen wurde. Machen sie schon und klicken sie einen unserer Klickeknöpfe oder klicken sie auf einen etwas unsichtbarer gemachten Link, mit dem sie unsere Scheißspam abbestellen können“.

Wer dabei denkt, dass eine derartige bildschirmfüllende Präsentation verdächtig an die Präsentation eines Erpressungstrojaners erinnert, denkt das Gleiche wie ich.

Microsoft hat sich einen Eintrag in die Annalen der Spam verdient. Es ist die erste Unternehmung, die sich getraut hat, ihre Spam – als „Windows-Update“ getarnt und dem Opfer klandestin untergejubelt – direkt auf dem Desktop zu machen. Ich kann natürlich niemanden daran hindern, weiterhin Produkte eines offensiv auftretenden Spammers zu verwenden (und damit dem Spammer zu vertrauen, obwohl es sich um einen Spammer handelt), aber ich glaube, dass jeder Mensch, der mit einem so genannten Gehirn ausgestattet ist, selbst bemerken sollte, dass es sich dabei um eine ganz schlechte Idee handelt.

In jedem Fall verbietet sich die Nutzung eines durch Spam beworbenen Produktes von allein. Spam ist nämlich immer ein ganz schlechtes Zeichen. Das gilt auch, wenn es sich um eine neue, „innovative“ Form der Spam handelt. Nein, es gilt gerade dann!

Achtung! Spekulation!

Nach diesen Worten nun noch etwas Spekulatives von mir, nämlich eine völlig unbelegte Vermutung, wie es weitergehen wird. Des Schwierige an Prognosen ist ja diese Zukunft… 😉

Niemand glaube, dass mit dem ersten August der Wahnsinn der immer aufdringlicheren, grenzkriminelleren, überrumpelnderen, spamartigeren Werbemethoden von Microsoft für ein ohne derartige Spam offenbar nicht so gut weggehendes Windows 10 vorbei sein wird!

Ich halte es für ziemlich sicher, dass es danach noch eine Menge vergleichbar aggressiver Versuche geben wird, Windows-7-Nutzern das neue Windows 10 aufzuzwingen… ähm… auf vielerlei Wegen „nahezulegen“. Auch mit Sonderpreisen, vielleicht sogar (nach einer kurzen Schamfrist) weiterhin kostenlos.

Ich kann mich noch gut daran erinnern, wie der „sanfte“ Update-Druck damals mit Windows 98 gemacht wurde – ein Betriebssystem, das eher ein Bugfix-Paket zu Windows 95 als ein neues Betriebssystem war, aber angereichert um solche Unverschämtheiten wie einen Microsoft-Zwangsbrowser als „Betriebssystemkomponente“, um solche scheunentorgroßen Sicherheitslücken wie „ActiveX“ und um lustige Desktop-Reklame-Versuche der totgeborenen Marke „Channel-Leiste“. Dies geschah, indem mit aller neuerer Software eine aktualisierte comdlg32.dll¹ mitgeliefert wurde. Es handelte sich um eine Version, die unter Windows 95 ein kleines Speicherleck aufwies, so dass ein Windows 95, auf dem auch neuere Software installiert war (zum Beispiel ein aktuelleres Microsoft Office oder ein Internet Explorer 4), bei längerer Nutzungsdauer immer instabiler wurde, bis schließlich irgendwann einer der vielen möglichen blauen Bildschirme erschien. Dies geschah völlig unabhängig vom Speicherausbau des verwendeten Computers, weil vom DOS-basierten Windows aus technischen Gründen nur ein sehr kleiner Speicherbereich für Systemressourcen verwendet wurde. Im Lande des vollumfänglichen Rechtsschutzes für beleidigte Leberwürste würde ich natürlich niemals unbelegt und angesichts der geheimgehaltenen Quelltexte auch unbelegbar behaupten, dass es sich dabei um einen Vorsatz gehandelt habe; und selbstverständlich wäre die schwierig nachzuweisende Straftat einer Sabotage von Millionen Computern auch inzwischen verjährt². Aber Windows 98 war dann halt viel stabiler und zuverlässiger…

Wenn es demnächst zu allerlei billigen bis kostenlosen „Probierangeboten“ und „Aktionen“ für Windows 10 kommt, beginnt auch spätestens die Zeit, in der man den Microsoft-Updates für Windows 7 nicht mehr vertrauen kann (sie hat eigentlich jetzt schon begonnen, denn es wird von Seiten Microsofts Spam darüber ausgeliefert), sondern gut damit beraten ist, immer ein paar Tage mit dem Update zu warten und aufmerksam in diversen technischen Websites nachzulesen, was es damit auf sich hat und welche Probleme von einer Installation verursacht werden können. Von einer Fortsetzung der asozialen Spam bis hin zu kriminellen Methoden traue ich Microsoft auch bei der Vermarktung von Windows 10 alles zu, und ich glaube nicht, dass irgendetwas davon wohltuend für die Betroffenen sein wird. Warum? Weil Microsoft nicht einmal mehr vor der Erfindung neuer Spamformen zurückschreckt, um auch noch dem Letzten etwas anzudrehen, was er gar nicht haben will.

Und was ist die Folge dieser… sorry… Arschlochnummer von Microsoft? Richtig: Dass eine größere Anzahl von Computern nicht mehr vertrauensvoll und möglichst unmittelbar mit Sicherheitsupdates gegen die kriminelle Ausbeutung von Softwarefehlern abgesichert werden kann.

Ja: Microsoft macht sich gerade zum größten Freund der Organisierten Kriminalität. Die davon angerichteten Schäden bei Privatpersonen, Unternehmen, Verwaltungen und Organisationen werden in ihrer Summe zwar nicht präzise ausweisbar, aber gewaltig sein. Mir wäre es jedenfalls lieber, wenn sich Microsoft zum größten Feind der Organisierten Kriminalität machte (und auf diesem Weg auch mal ein paar dumme, häufig kriminell ausgebeutete GUI-Designentscheidungen aus den Neunziger Jahren korrigierte, wie etwa die standardmäßige Ausblendung von Dateinamenserweiterungen, wenn man schon die an sich gefährliche, grundlegende Idee der Kennzeichnung einer ausführbaren Datei durch ihren Dateinamen nicht ändern kann, ohne schwere Inkompatibilitäten zu verursachen).

Was für ein Zufall, dass bei solcher „Partnerschaft“ der bildschirmfüllende, den Desktop überlagernde Reklame-Hinweis auf Windows 10 so verdammt ähnlich wie der Hinweis eines Erpressungstrojaners aussieht…

Ein abschließendes Wort an Microsoft

Microsoft-Entscheider!

Statt zu Spammern zu werden und eure Kunden (die euch immerhin bezahlen) so offen zu verachten, dass ihr ihnen mit asozialer, den Desktop überlagernder Spam kommt, seht lieber ein, warum eure Kunden Microsoft Windows benutzen! Sie tun das nicht, weil sie ein weiteres Spielzeug-Betriebssystem für Spielzeug-Computer wie diese Wischofone³ haben wollen, sondern weil sie mit ihrem Computer arbeiten wollen. Sonst würden sie sich ja auch direkt Spielzeug-Computer kaufen. Für das, was eure Kunden wollen, brauchen sie keinen Appstore, keine Kacheln, keine Reklame auf dem Desktop, keine Datenenteignung durch Cloud-Dienste, keine klandestin verbauten Überwachungsfunktionen und übrigens auch keine Arbeitsunterbrechungen durch eure Drecksspam.

Denkt an diese Menschen (programmiert meinetwegen eine zweite, alternative Shell für Kinder und Vollidioten, wie ihr es schon einmal gemacht habt), und sofort wird sich euer Erfolg wieder einstellen. Dann braucht ihr auch keine Spam. Und die Lizenzen werden sogar bezahlt. Nicht, weil man euch liebt. (Das ist auch eine Haltung, die man eher gegenüber Menschen als gegenüber Computern einnehmen sollte.) Sondern weil eine gewisse Abhängigkeit von eurem Betriebsystem gewachsen ist. Auf dieser Grundlage nehmen Menschen leider einiges in Kauf. Aber nicht alles.

Plonk!

¹Diese DLL von Microsoft ist zuständig für die Darstellung von Standarddialogen wie etwas zur Dateiauswahl, zur Schriftartauswahl, für den Ausdruck, für die Farbauswahl und dergleichen.

²Es gibt auch im Zusammenhang der spamartigen Windows-7-Marketingaktionen von Microsoft Menschen, die offen von Sabotage sprechen (hier auch eine dauerhaft archvierte Version der aus nachvollziehbaren Gründen patzig und aggressiv gestellten „Frage“ an den Microsoft-Support). Als Windows technisch noch ein Aufsatz auf DOS war, hat Microsoft sein Windows gezielt zu DOS-Versionen inkompatibel gemacht, die nicht von Microsoft kamen. Das war sicherlich nicht leicht, aber was tut man nicht alles für ein bisschen Erpresserlohn…

³Wischofon: Mein Wort für ein Smartphone.