Toll, schon wieder! Ich werde noch richtig reich! Und das nur, weil meine Mailadresse unter Spammern gehandelt wird.

Attn: E-mail Owner!!!

„Achtung Mailinhaber!“ ist doch eine Vertrauen erweckende Anrede, nicht wahr?!

This is to notify you that your e-mail address was selection during the annual Euro Millions Lottery Draw and have won the sum of 470,000 euros..

Wie immer hast du bei einer Lotterie, bei der du niemals ein Los gekauft hast und von der du noch niemals etwas gehört hast, einen riesen Haufen Zaster gewonnen. Damit dir diese Lotterie auch weiterhin völlig unbekannt bleibt, gibt es keinen Link auf eine Website und auch sonst keine weiteren, von dieser Mail unabhängigen Infos dazu. Sonst kommst du noch auf die Idee, einmal bei jemanden anders als bei uns nachzufragen, und das wäre schlecht für unseren Betrug.

You are to contact below claim officer for immediate process of your claim; Remember to quote these numbers below for verification.

REFERENCE NUMBER: ESP/WIN/008/02/10/MA
BATCH NUMBER: EURO/1007/444/606/10.

Stattdessen gibts eine Kelle aus der Buchstabensuppe, und diese Zeichenfolgen sollen wichtig und bedeutsam aussehen. Diese Nummern musst du sofort zurückschicken, als ob sie ein ganz tolles und sicheres Geheimnis wären, dabei gingen sie offen und für jeden Rechner auf dem Weg der Mail leicht lesbar durch das Internet. Was diese Bullshit-Sequenzen mit deiner Mailadresse zu tun haben, die doch angeblich gewonnen haben soll, bedarf keiner weiteren Erklärung. Dafür wird noch kurz deutlich gemacht…

You should include Your Name, Sex, Age, Occupation, Nationality, Phone numbers.

…dass die Absender gar nichts über den (besser: die paar Hunderttausend) Empfänger dieser Spam wissen. Aber wer glaubt, dass der ihm Weihnachtsmann fette Lotteriegewinne schenkt, obwohl er in dieser Lotterie gar nicht mitgespielt hat, der macht auch den kleinen Datenstriptease. Beosnders wichtig ist die Telefonnummer, denn am Telefon laufen diese Gangster zur Hochform auf, da sind sie so richtig in ihrem Element. Da können sie ihrem Opfer so richtig toll den Berg von Geld vor Augen malen, der da bereit liegt und morgen schon… na ja, bis auf so ein paar Formalien, die vor der Überweisung noch zu erledigen sind. Und diese Formalien erfordern doch immer Vorleistungen des „Gewinners“, mal hier ein Fuffziger, mal dort ein Hunderter und dann noch ein paar hundert Euro für irgendwelche Papiere und Beglaubigungen. Leider haben diese tollen Lotteriebetreiber und ihre „Anspruchsbeamten“ niemals ein richtiges Bankkonto und möchten das Geld deshalb immer schön anonym über Western Union oder MoneyGram haben, denn sie wollen es ja verprassen und nicht von der Polizei abgeholt werden. Schließlich leben sie davon.

So, jetzt noch das Wichtigste:

Mr. Antonio Guzman (Claim Officer)
Email: sicclaimdept (at) luckymail.com
Tel: +34-688-298-xxx

Die Mailadresse, unter der man Kontakt aufnehmen soll. Sie stimmt natürlich nicht mit der (gefälschten) Absenderadresse überein.

Die Story ist immer noch so dürftig wie seit Jahren, aber technisch hat zumindest diese Bande ein bisschen zugelegt. Ihr Spamskript setzt einen Reply-To-Header, und man könnte diese Mail auch beantworten, indem man in seinem Mailprogramm auf Antworten klickt. Das ist ja sonst keine Selbstverständlichkeit. Glaubwürdiger wird die müde Geschichte dadurch allerdings nicht, zumal der „Anspruchsbeamte“ für seine Kommunikation über millionenschwere Transaktionen irgendwelche Freemailer verwendet. Doch selbst, wenn er das nicht täte, machte die ganze Form klar, mit was für einem Pack man es hier zu tun hat.

Wenn über ernsthafte Geschäfte und Geld kommuniziert wird, trägt die Mail mindestens eine kryptografische Signatur, die sich mit einem veröffentlichten public key auf einer zweifelsfreien und auf dem Weg nicht manipulierbaren, also über HTTPS ausgelieferten, Website verifizieren lässt. Und das ist das Mindeste bei vertraulicher Kommunikation, denn jeder Bestandteil einer E-Mail kann gefälscht werden. (Es ist etwa damit vergleichbar, dass jeder einen Phantasieabsender auf einen ganz normalen Brief schreiben könnte. Nur, dass die Mail wie eine Postkarte offen durchs Internet geht und zudem jeder auf dem Weg den Text verändern könnte.) Ein Unbekannter, der Jobs, Geschäfte oder Geldbeträge ohne einen solchen Mindeststandard der Kommunikation offeriert, ist immer, ohne eine einzige Ausnahme ein Betrüger. Im Regelfall wird man sich vor dem Austausch über Einzelheiten und Beträge auch darauf einigen, verschlüsselt zu kommunizieren, denn die gesamte Kommunikation geht über einen offenen Kanal und kann von jedem Rechner auf dem Weg abgefangen und manipuliert werden. Die Internet-Betrüger treffen niemals solche Vorkehrungen, denn ihre Zielgruppe sind „dumme“, noch unerfahrene Netznutzer, deren Naivität ausgebeutet werden soll – und diese minimalen Maßnahmen sind nicht dafür geeignet, die für den Betrug gewünschte Anonymität der Betrüger zu sichern.

Best regards,
Mrs. Maria Jose.
Euro Milliones Team

Mit freundlichem Gruß von ihren Vorschussbetrügern

Und nein, niemand gewinnt bei einer „Lotterie“, bei der er nicht mitgespielt hat. Wovon sollte sich diese „Lotterie“ denn finanzieren? Geld wird nicht einfach verschenkt.

Völlig ernsthaftes Nachwort

Ich wurde in den letzten Wochen gefragt, warum ich gewisse, sehr monotone Formen der Spam immer und immer wieder hier bringe, ob „mir denn nichts Neues einfiele“ Die Antwort ist einfach: Ich denke mir die Spam nicht aus, sondern bringe hier eine Auswahl derjenigen Spam, die auf dem Mailserver ankommt (und meist automatisch aussortiert wird). Wie ich an der Auswertung der Logdatei des Webservers sehen kann, wird nach einigen Spams auch immer wieder gegoogelt, es sind sich also Menschen über den wirklichen, den ausnahmslos kriminellen Charakter der Spam unklar.

Die jeweiligen Betrugsformen in der Spam unterliegen dabei einer gewissen Wellenbewegung. Zeitweise treten gewisse Betrugsnummern gehäuft auf (im Moment etwa der vorgebliche Handel mit Markenimitaten von Uhren und mit Software), während andere Betrügereien monatelang nicht zu sehen sind, bis die kriminellen Banden, die diese Betrügereien durchziehen, sich wieder auf die alten „Geschäftsmodelle“ besinnen und sie noch einmal versuchen. Nachdem es jetzt für viele Wochen kaum einen „Lotteriegewinn“ gab, scheint die Zeit wieder reif für diese recht durchschaubare Form des Vorschussbetruges, allerdings momentan vor allem in englischer Sprache. Die ersten deutschsprachigen Versionen sind aber auch schon wieder unterwegs, wenn auch im Moment etwas seltener. Die folgende, deutschsprachige Mail fand sich heute in einem ganzen Haufen vergleichbarer Betrugsversuche in englischer Sprache und sei hier unkommentiert [bis auf die kleinen Anmerkungen in eckigen Klammern] in ihrer Original-Formatierung wiedergegeben:

Betreff: OFFIZIELLE GEWINNBENACHRICHTIGUNG

INTERNATIONALE LOTTO/BONO LOTTO PROGRAMM MADRID OFFICE OFFIZIELLE MITTEILUNG VOM SITZ DES PRAESIDENTEN INTERNATIONALE PROMOTION-GEWINNZUTEILUNG

REFERENZ-NUMMER: CJ44/654560010/NHM

OFFIZIELLE GEWINNBENACHRICHTIGUNG
Wir sind erfreut, ihnen mitteilen zu konnen, dass die Gewinnliste INTERNATIONALE LOTTO/BONO LOTTO PROGRAMM am 10/09/2010 erschienen ist [Das ist übermorgen, wenn das Datum im US-Format steht], vorbei? [sic!] Co-organisiert vom World Tourism Organization/Spanish Ministerio de Tourismo. Dir [sic!] offizielle Liste der Gewinner erschien am 05-10-2010 [Jetzt wieder ein hier üblicheres Datumsformat], Ihre E-mailadresse wurde auf dem Los mit der Nummer: 000442002 und mit der
Seriennummer: 2113-10 registriert. Die Glucksnummer: 10-16-25-41-46, [sic!] hat in der zweiten Kategorie gewonnen.

Sie sind damit Gewinner von: ?935,470.00 [Das Währungszeichen ist wohl abhanden gekommen? Na, es geht ja nur um Geld!] (NEUN HUNDERT FUENF UND DREISSIG TAUSEND UND VIER HUNDERT UND SIEBZIG EURO.) [Englische Zahl komponentenweise übersetzt!] Die Summe ergibt eine Gewinnausschuttung [sic!] von. ?25,257,690,00 (FUENFUNDZWANZIG MILLIONEN, ZWEI- HUNDERTSIEBENUNDFUENFZIGTAUSEND-SECHSHUNDERTUNDNEUNZIG EURO). [Ah, diese Zahl wieder in fast korrektem Deutsch] Die Summe wurde durch 27 Gewinnern aus der gleichen Kategorie geteilt.

Alle Gewinner werden per Computer aus 45.000.00 Namen [sic!] und E-mails aus ganz Europa, Asien, Australien, Africa und Amerika [Wie, keine aus der Antarktis?!], als Teil unseres internationalen Promotionprogramms ausgew?hlt, welches wir einmal im Jahr veranstalten.

INFINITY SEGUROS [Tolle Firmierung!] S.A
SICHERHEITSFIRMA-UNTERNEHMEN [sic!] S.L
AUSLANDSANSPRECHPARTNER : DR. ANTONIO GARCIA E-mail: seguro2010 (at) ozu.es Tel : + 34 – 634 – 136 – xxx [Von mir unbrauchbar gemacht!]

Bitte denken Sie daran: jeder Gewinnanspruch muss bis zum 10/10/2010 angemeldet sein. Jeder nicht angemeldete Gewinnanspruch verf?llt und geht zurueck an das MINISTERIO DE ECONOMIA Y HACIENDA. Bitte denken Sie auch daran, dass 10% Ihres Gewinnes an die Sicherheitsfirma INFINITY SEGUROS S.L geht. [sic!] Die 10% sind erst nach Erhalt des Gewinnes faellig, da der Gewinn auf Ihrem Namen versichert ist. [sic!]

BITTE AUSFUELLEN: DEIN DATAS AUS UNTEN. [sic!]

1. VORNAME :
2. NACHNAMEN :
3. ADRESSE : PLZ / ORT :
4. NATIONALITAT : BERUF : [Zusammenhang?]
5. GEBURTSDATUM :
6. STAAT :
7. TELEFON :
8. MOBIL :
9. FAX :
10.GESCHLECHT :
11. E-MAILADRESSE : [sic!]
ZAHLUNGSARTEN
(a) Bank?berweisung (b) best?tigten Schecks [sic!]

NAME DER BANK :
BANKKONTO :

Bankleitzahl: / SWIFT CODE :
BANK ADRESSE :

Die oben genannten
Anforderungen [sic!] sind erforderlich. kontaktieren Sie bitte unseren auslдndischen [sic!] Sachbearbeiter Dr. Antonio Garcia in Bewachungsunternehmen [sic!] INFINITY SEGUROS SL & Finanzen email: seguro2010 (at) ozu.es mit allen erforderlichen Daten von Ihnen [sic!], fьr Ihre dringende Zahlungsauftrдge [sic!].

Glueckwuensche noch einmal. [sic!]
Herzlichst
Mrs Lisa Sanchez.

Diese betrügerische Spam hat natürlich noch erhebliche Schwächen; ganz so wie immer, wenn sich die Spammer aus Textbausteinen älterer Spamwellen einen „neuen“ Text zusammensetzen. (Die alten Texte werden praktisch niemals unverändert für eine neue Spamwelle verwendet, da sie schon an vielen Stellen im Internet dokumentiert sind und kaum durch die Spamfilter hindurchkommen.) Das Deutsch wirkt teilweise mechanisch übersetzt, die Umlaute sind entweder verloren gegangen oder durch Zeichen in der kyrillischen Codepage der Absender ersetzt worden. Und das alles geht heiter durcheinander, so dass man schon beim Überfliegen sieht, dass hier drei verschiedene Texte als Vorlage dienten. Auch ist beim Anschauen klar, dass der Absender höchstens rudimentäre Kenntnisse der deutschen Sprache hat. Ich bin mir sicher, dass kein Mensch auf diesen Dreck hereinfallen kann. Ich weiß aber auch aus Erfahrung, dass diese deutschsprachigen Mails in spätestens zwei Wochen frei von den übelsten Schwächen sein werden, und dann werden sie schon gefährlich. Häufig werden bei diesen Überarbeitungen auch die Ziffernfolgen und Losnummern der englischen Spams übernommen, und wer sie in Google eingibt, soll ruhig einen kleinen Einblick in die Geschichte bekommen.

Die technische Neuerung in der beginnenden und kommenden Lotteriegewinn-Spamwelle ist es, dass die Spammer diesmal ein Spamskript verwenden, das eine Reply-To-Adresse in den Header der Mail schreibt, so dass diese Mails auch „ganz normal“ beantwortet werden können. Das behebt eine wesentliche Schwäche der vorherigen Betrugswellen, denn es bedarf keiner großen Internet-Erfahrung, um stutzig zu werden, dass man zum Beantworten einer Mail nicht einfach in seinem Mailprogramm auf „Antworten“ klicken kann. Dieses Sicherheitsnetz fällt nun weg.

Weshalb die Spammer drei Jahre gebraucht haben, um dieses triviale Feature in ihre Skripten einzubauen, bleibt mir allerdings rätselhaft. Vermutlich war es die Mühe einfach nicht wert, weil immer noch genügend gläubige Opfer gefunden wurden – und ein Spammer ist, wie die meisten dummen Kriminellen, faul. Wenn es jetzt die Mühe wert ist, spiegelt sich darin auch, dass der Betrug jetzt für die Spammer schwieriger wird. Leider wird diese Schwierigkeit nicht zu einem Rückgang der Spam führen, sondern zu „besserer“ Spam, die mit weniger technischen Schwächen daher kommt, damit sie nicht leicht als Betrugsversuch erkannt werde und wieder Opfer finde. Ich befürchte fast, dass die Spammer damit einen gewissen Erfolg haben.