Heute einmal eine ganz besondere Warnung vor einer neuen Phishing-Masche, die für deutsche Nutzer des Internet in die bevorstehende Zukunft weist. Es lohnt sich, diesen Text ganz zu lesen; und dies gilt vor allem, wenn man seine Kontoführung über das Internet erledigt.
1. Die Mail
Ich bin doch immer wieder überrascht, bei wie vielen „Banken“ ich als „Kunde“ geführt bin, obwohl mir keine Bank mehr ein vollwertiges Konto geben würde. Selbst jenseits des Atlantiks habe ich angeblich meine Konten, wenn ich dem Phisher glauben darf, der mich unter gefälschter Absenderadresse und mit dem Betreff „important reminder: digital certificate issued <message id: b0531731us>“ mit einer HTML-formatierten Mail anschrieb.
Dear Bank of America Direct User:
Klar, bei der angeblichen „Bank of America“ ist man zwar imstande, eine kryptisch anmutende „Message ID“ in den Betreff aufzunehmen, aber dafür gelingt es dort offenbar nicht, einen Kunden einfach bei seinem Namen anzusprechen. Auch für so eine Kleinigkeit wie eine Kontonummer oder eine Kundennummer hat es nicht hingereicht. Schließlich ist unpersönliches, technokratisches Auftreten der letzte Schrei im Kundendienst. 
Our records indicate that a new digital certificate has been issued to your Bank of America Direct user ID.
Und wo wir schon bei technokratisch sind… hier wird nicht etwa persönlich angesprochen, sondern mit der Aktenlage begründet. Vor allem, weil man mit diesen unpersönlichen Formulierungen am besten verbergen kann, dass man auf Seiten der Kriminellen gar nicht weiß, wie der Empfänger der Mail angesprochen werden sollte. Dass die Benutzer-ID, für die hier angeblich ein neues „digitales Zertifikat“ ausgegeben wurde, gar nicht näher benannt wird, fällt dabei dem dummen Gläubigen solchen Geschwafels wohl auch nicht weiter auf — sonst käme er noch auf die Idee, diese Nummer mit seinen Unterlagen zu vergleichen.
Digital certificates are computer-based records issued to individual user IDs that allow Bank of America Direct to validate your identity and protect your information from unauthorized access. In order to access Bank of America Direct, you must use a valid digital certificate.
So, jetzt erklären wir noch einmal kurz für Dumme, was es mit diesem angeblichen „digitalen Zertifikat“ auf sich hat. Schön irreführend natürlich, damit der Empfänger glaubt, er käme demnächst gar nicht mehr an sein Konto und damit auch nicht mehr an sein Geld ran. Außer natürlich, er installiert sich schnell dieses angebliche „digitale Zertifikat“ seiner „Bank“, die ja so „freundlich“ ist, ihn darauf hinzuweisen und auch gleich zu sagen, wie man das macht:
Installation Instructions
To install your newly-granted digital certificate, please access the Digital Certificate Pick-Up site at:
http://direct-certs.bankofamerica.com/ [… sehr lange URL von mir gekürzt]
Die in der Mail angegebene URL sieht ja auch noch koscher nach dem Server bankofamerica.com aus, so dass Mitmensch Empfänger gar nicht auf die Idee kommt, dass hier ein Problem liegen könnte. Mitmensch Empfänger weiß ja auch im Allgemeinen gar nicht, dass er eine HTML-formatierte Mail vorliegen hat, in der man zum Beispiel eine angegebene URL ganz einfach mit einem Link auf eine völlig andere URL ausstatten kann. Und der im Link angegebene voll qualifizierte Domainname sieht zwar hübsch ähnlich aus, damit Mitmensch Dummkopf es nicht gleich beim ersten Blick in die Adresszeile seines Browsers merkt, aber…
http://direct-certs.bankofamerica.com.losao8.es/ [… sehr lange URL von mir gekürzt]
…verweist doch in Wirklichkeit auf die Domain losao8.es, unter der es gewiss keinen Kundendienst eines großen, US-amerikanischen Bankhauses geben wird. Vielmehr wird es dort die Installation von Dingen geben, die kein Mensch auf seinem Computer haben will; und dies schon gar nicht, wenn er mit seinem Computer auch noch Online-Banking betreibt.
Auf eine Installation ist das zukünftige Opfer ja schon vorbereitet, da wird es sich gewiss freuen, dass alles so leicht und schnell geht und dass es wieder an sein Konto und sein Geld kommt. Da stört es ihm gewiss nicht…
Please have your Bank of America Direct login information readily available when completing this process.
…dass es den Verbrechern auch gleich noch die Zugangsdaten für sein Konto liefert. Und die Verbrecher freuen sich auch, denn dieser Phishzug wird sich wirklich lohnen.
So, jetzt zum Abschluss noch ein paar Zeilen für die verbesserte Glaubwürdigkeit des ganzen Unsinns in die Mail schreiben…
Should you have any questions regarding this process, please consult your Company Administrator or contact your regional customer support center for further assistance.
Sincerely,
Bank of America Direct Technical Care Center
NOTE: This is an automatically generated communication.
…und fertig ist eine außerordentlich gefährliche Phishing-Mail, die gewiss ihre Opfer finden wird.
2. Warum ich darauf hinweise
Natürlich besteht für die überwiegend deutschen Leser dieses Textes noch keine Gefahr, auf diesen Phishzug reinzufallen. Außer, sie haben wirklich ein Konto bei US-amerikanischen Banken und sind es gewohnt, dass die gesamte Kommunikation mit der Bank in englischer Sprache läuft. Dennoch halte ich diesen Betrugsversuch für sehr gefährlich und bin mir angesichts der international organisierten Spam- und Phishing-Mafia völlig sicher, dass es demnächst ähnliche Versuche in deutscher Sprache geben wird. (Dass die Spammer in letzter Zeit immer besseres Deutsch produzieren, macht eine solche Möglichkeit noch etwas gefährlicher.)
Es sind vor allem die folgenden drei Gründe, die bei mir alle Alarmglocken klingeln lassen:
- Das Thema „Phishing“ ist zurzeit aus den deutschen Medien verschwunden, und deshalb wird die angemessene, kritische Aufmerksamkeit vieler Internet-Nutzer nachlassen.
- Die im Text verwendete Masche ist neu und noch völlig unverbraucht. Ein normaler Internet-Nutzer, der nicht über tiefere Kenntnisse verfügt, könnte die im Text der Mail gegebene Begründung für plausibel halten und deshalb leicht darauf hereinfallen.
- Die schon in der Mail angekündigte Installation einer Software-Komponente auf dem Rechner des Opfers ermöglicht den Kriminellen eine völlig neue, sehr effektive Vorgehensweise bei ihrem Betrug. Die Manipulationen können über einen längeren Zeitraum hinweg vor einem Opfer verborgen werden. Dabei kann es zu einem erheblichen finanziellen Schaden beim Opfer kommen.
Zunächst einmal das Sachliche, wenn auch hier etwas unsachlich zusammengefasst. Das in der zitierten Mail zum Schwindel bemühte Gelaber von einem „digitalen Zertifikat“ ist gut gequirlte Scheiße. Es gibt zwar wirklich digitale Zertifikate, aber diese erfüllen eine völlig andere Funktion und müssen niemals wie eine Software installiert werden. (Ein Browser kann aber sehr wohl beim Besuch einer Website rückfragen, ob einem bestimmten Zertifikat vertraut werden soll.) Wer Näheres zu diesem Thema wissen möchte, kann sich in der Hilfe seines Browsers in aller Ruhe schlau lesen.
Ich lege wirklich jedem Menschen nahe, sich ein paar Kenntnisse über seinen Computer und die darauf verwendete Software selbst anzueignen; vor allem, wenn er über dieses Vehikel so empfindliche Aufgaben wie das Bewegen von Geld erledigen möchte. Solides Wissen ist der beste und durch nichts anderes zu ersetzende Schutz vor den meisten Formen des Internet-Betruges, Unsicherheit und Halbwissen sind hingegen oft eine große Erleichterung für kriminelle Angreifer — dies gilt ausdrücklich auch für das blinde Vertrauen auf eine dieser vielen Software-Lösungen, die Sicherheit versprechen. (Natürlich kann solche Software dennoch eine wichtige Ergänzung sein.)
Was macht diesen Angriff jetzt über alle Maßen gefährlich, worin besteht die qualitative Steigerung gegenüber vorherigen Ansätzen des Phishings?
Nun, es ist die zusätzliche Installation auf dem Rechner des Opfers.
Ich habe hier gerade kein besonders gesichertes System und weiß nicht, was dabei in welcher Weise installiert wird. Aber ich kann aus dem Text dieser Mail den folgenden Ablauf bei der Installation und der nachfolgenden Kontoführung vermuten:
- Das Opfer sieht nach dem Klick in eine Spammail eine betrügerisch nachgemachte Website im Layout seiner Bank und meldet sich dort wie gewohnt an.
- Es ist davon auszugehen, dass die Verbrecher auf dem von ihnen kontrollierten Server mit den gleichen Anmeldedaten den richtigen Server der Bank des Opfers kontaktieren und mit einem automatischen Verfahren bedienen. Die Verbrecher stellen sich also schon beim ersten Mal in die Mitte zwischen dem Opfer und seiner Bank. Deshalb können sie auch gleich die richtige TAN vom TAN-Block des Opfers anfordern, wenn das übliche Verfahren verwendet wird.
- Die Verbrecher holen sich vom Server der Bank sämtliche Kontoinformationen des Opfers ab und speichern diese in einer Datenbank auf ihrem eigenen Server. Mit Hilfe dieser Daten wird dem Opfer in den nächsten Wochen und Monaten vorgespielt, es sei noch Herr über sein eigenes Konto.
- Nebenbei bekommt das Opfer eine Software zum Download und zur automatischen Installation angeboten. Diese Software wird ein Trojaner sein, der alle Zugriffe auf dem Server der Bank auf die Website der Verbrecher umleitet, die nach der Installation jedes Mal in der Mitte zwischen dem Opfer und seiner Bank stehen. Wer einen Internet-Explorer verwendet, kann sich darüber „freuen“, dass die ganze Installation automatisch abläuft.
- Das Opfer kann über seinen eigenen Rechner nicht mehr die richtige Website seiner Bank erreichen, bemerkt dies aber nicht. Der Servername der Bank wird zur IP-Adresse eines Servers der Verbrecher aufgelöst. Das Opfer glaubt, dass es seine normale Kontoführung erledigt, aber es arbeitet dabei auf einem Server schwer krimineller Betrüger.
- Es ist für diese Verbrecher nun technisch eine Kleinigkeit und organisatorisch eine Programmierung nur mittlerer Komplexität, diese Situation so auszunutzen, dass dem Opfer in der nachgemachten Website der Bank alles so angezeigt wird, dass keinerlei Verdacht entsteht. Alle Buchungen erscheinen genau so, wie das Opfer sie gewollt hat. Unter diesen Umständen kann das Opfer gar keinen Verdacht schöpfen.
- In dieser Situation räumen die Verbrecher dreist und in maximal möglichem Umfang ab, ohne dass das Opfer eine Chance hat, etwas davon zu bemerken — und sie haben dabei, da niemand einen Verdacht schöpft, alle Zeit der Welt, das gebuchte Geld zu barem Geld zu machen. (Denn das ist bei solchen Formen des Betruges immer das größte organisatorische Problem.)
- Wenn endlich ein Kontoauszug postalisch zugestellt wird, wenn eine Mahnung der Bank ins Haus flattert, wenn der Geldautomat kein Geld mehr ausgibt, wenn die Kreditkarte eingezogen wird… ja, denn ist es recht spät geworden, und die Verbrecher sind mit ihrer Beute längst über alle Berge. Ob das Opfer etwas von seinem Geld wiedersehen wird, ist sehr fraglich; es ist davon auszugehen, dass die meisten Banken sich in ihren AGB gegen solche Fälle mangelnder Sorgfalt ihrer Kunden abgesichert haben. Dem Opfer bleibt nur noch die Möglichkeit einer Strafanzeige gegen eine international organisierte Mafia, die zwar routiniert von der Polizei aufgenommen wird, aber kaum zu einem Ermittlungserfolg führen wird. Und natürlich bleibt das Geld verschwunden und ein ordentlicher Haufen Schulden wird für die nächsten Jahre zu einer drückenden Last.
Ich hoffe, dass jetzt auch dem letzten klar geworden ist, warum es sich hier um eine neue kriminelle Qualität im Phishing handelt, die ich in den nächsten Wochen auch in deutscher Sprache erwarte.
3. Wie kann man sich vor Phishing schützen?
Die Grundregeln, wie man sich vor jeder Form des Phishing schützt, sind ganz einfach zu beherzigen. Eigentlich handelt es sich um „gesunden Menschenverstand“, der sich grob in die folgenden fünf Hinweise zusammenfassen lässt:
- Die erste und wichtigste Regel: Bevor man wegen einer Mail von einer Bank (oder von einem Versandhaus oder eines anderen Unternehmens, bei dem man Kunde ist) etwas tut, was man selbst nicht versteht, ruft man beim Kundendienst an. Und zwar immer unter der Telefonnummer, die in den schriftlichen Unterlagen steht, und niemals unter einer Nummer, die in der Mail steht. Das gleiche gilt bei Anrufen der Bank oder eines anderen Unternehmens, bei dem man Kunde ist — immer misstrauisch sein, wenn es um Geld geht.
- Phishing-Mails erkennen: Wer als Kunde einer Bank oder eines anderen Unternehmens eine Mail erhält, in der er nicht einmal mit seinem Namen angesprochen wird, der hat es mit Sicherheit mit einem Phishing-Versuch zu tun. Am besten ist es, in dieser Situation sofort Kontakt zur Bank aufzunehmen, damit andere Menschen vor diesem wahrscheinlich massenhaften Betrugsversuch gewarnt werden können. Leider sind viele deutsche Banken tendenziell etwas nachlässig in ihrer Verantwortung, ihre Kunden über laufende Angriffe zu informieren — das kann und wird sich jedoch ändern, wenn es immer wieder von Kunden eingefordert wird.
- Immer daran denken: Keine deutsche und wohl auch kaum eine ausländische Bank fordert mit Mails dazu auf, die Bank-Homepage zu besuchen und dort irgend etwas angeblich Erforderliches zu tun. Wenn dies doch einmal geschehen sollte, und man ist sich als Empfänger auch nur ein kleines bisschen unsicher (weil man zum Beispiel namentlich angesprochen wurde), denn sollte man immer noch einmal telefonisch bei der Bank nachfragen. Dieses bisschen Prävention kann tausende von Euros sparen und sehr die Nerven schonen.
- Vorsicht beim Klicken: Die Internet-Adresse seiner Bank gibt man immer von Hand ein! Ein Klick in eine Mail ist gefährlich, da er zu einer anderen Adresse führen kann, als man glaubt. Es ist aber auch sehr gefährlich, die Lesezeichen seines Browsers zu benutzen, da sich diese relativ leicht durch andere Programme verändern lassen — und irgendwann werden auch solche Wege von Kriminellen beschritten werden. Also nochmal: Die Internet-Adresse seiner Bank gibt man immer von Hand ein! Selbst das gibt noch keine umfassende Sicherheit, da die Namensauflösung manipuliert sein kann (wie ich es etwa als Folge des hier vorgestellten Phishing-Versuches vermute), aber es hilft gegen jene einfachen Angriffe, die komplexen Angriffen voraus gehen müssen.
- Spam ungelesen löschen: Niemals auch nur darüber nachdenken, auf einen Link in irgendeiner Spam zu klicken — egal, ob es sich um eine Spammail handelt, ob es ein Spamkommentar in einem Blog oder einem Gästebuch ist, ob es ICQ-Spam oder eine sonstige Form der Spam ist. Die meiste Schadsoftware nimmt heute über Spam ihren Weg auf die Computer. Wenn man den Kriminellen erst einmal den eigenen Rechner zur Verfügung gestellt hat, denn haben sie auch bei komplexen Manipulationen leichtes Spiel. Und das kann für den Betroffenen sehr teuer werden.
Mit Hilfe dieser sehr einfachen Hinweise sollte es jedem möglich sein, Schaden von sich selbst abzuwenden. Diese Hinweise haben zudem noch einen weiteren Vorteil: Sie kosten — im Gegensatz zu mancher in dieser Sache völlig wirkungslosen, aber teuer verkauften Software zum „Schutz“ des Computers — kein Geld, können aber viel Geld sparen helfen.
Es gibt noch einen weiterführenden Hinweis auf eine technische Verbesserung. Die Befolgung dieses Hinweises kostet ebenfalls kein Geld, ist aber mit einem kleinen Aufwand verbunden: Niemals einen unsicheren Browser oder einen unsicheren Mailclient verwenden! Besonders gefährlich ist der Internet-Explorer, doch auch ein Firefox oder ein Opera sollte — ebenso wie ein Thunderbird — immer auf dem neuesten Stand gehalten werden. So kann man das Mögliche dafür tun, dass der eigene Rechner nur das tut, was man selbst möchte, ohne dass man Kriminellen die Chance gibt, mit boshaft präparierten Inhalten Schaden anzurichten.