Phishing-Köder. Wo lauern sie noch?

Neben der Versendung von Phishing-Mails nutzen Angreifer Fake-Werbung und Fake-Shops, um unwissende/unbedarfte User zum Klicken zu verführen. Mimikama berichtete im Juli diesen Jahres noch darüber, wie leicht und schnell Fake-Werbung geschaltet werden kann - auch wenn es das Unternehmen gar nicht gibt.

Das Prinzip ist ähnlich wie in Phishing-Mails. Die Anzeigen gleichen optisch seriösen Anzeigen und es ist kaum zu erkennen, dass es sich um Fake handelt.

Die Handlung der nun folgenden Story beruht auf einer wahren Begebenheit. Der Name der Person ist frei erfunden.

Wie alles begann...

Auf der Suche nach einem bestimmten Markenstaubsauger nutzte Frau M. eine bekannte Suchmaschine, um nach günstigen Angeboten zu suchen. Es sollte gar nicht das aktuellste Modell sein, eine ältere Version wäre völlig ausreichend. Einzige Kriterien: beutellos, geringes Gewicht, einfache Reinigung und kabellos.

Unter den etlichen Anzeigen fiel eine direkt ins Auge, da der Preis günstiger war als bei vielen anderen Anbietern - angeblich aufgrund der Sonderfarbe. Schnell war der Link geklickt und Frau M. gelangte auf die Webseite des Anbieters. Hier kurzer Prozess: Artikel in den Warenkorb gelegt - wie auch bei hunderten Online-Käufen in der Vergangenheit - alle relevanten Felder ausgefüllt und die Bestellung abgeschickt.

Es folgte eine Bestätigungsmail über den Kauf und die Vorfreude war groß. Was jedoch in der Mail fehlte, waren die Bankdaten, um die Überweisung tätigen zu können. Frau M. beschloss Geduld zu haben und erst noch abzuwarten, ob diese separat gemailt werden.

Doch als auch nach einigen Tagen keine weitere Mail des Anbieters einging, verfasste Frau M. eine Mail mit der Aufforderung, die Bankdaten mitzuteilen. Beim Versuch, auf die erste Mail des Shops zu antworten, blockierte jedoch das Anti-Viren-Programm die Versendung der Mail.

"In diesem Moment wurde mir klar: Hier stimmt was nicht!"

Max Mustermann

Und jetzt?

Frau M. begab sich im Internet auf die Suche nach dem Online-Shop. Dieser war allerdings nicht wiederzufinden. Ein einziger Hinweis aus der Bestätigungs-Mail gab Hoffnung. Scheinbar wurde der Online-Shop von einem Elektriker betrieben. Also wieder zurück zur Suchmaschine. Und tatsächlich, unter den ersten Suchergebnissen tauchte die Webseite des Elektrikers auf.

Nach Öffnen der Seite war dann klar, Frau M. war auf Betrüger reingefallen. Auf der Startseite befand sich ein nicht zu übersehender Text: "Liebe Besucher unserer Webseite. Wir betreiben keinen Online-Shop. Unser Name wird unrechterweise verwendet. Wir können Ihnen nicht weiterhelfen. Bitte wenden Sie sich an die Polizei oder die Verbraucherzentrale und sehen Sie von Anrufen und Mails mit Fragen zu diesem Thema bei uns ab."

Nachdem Frau M. diesen Schock verdaut hatte, ging Sie davon aus, dass ja bis jetzt nichts passiert ist. Zum Glück noch kein Geld überwiesen!

Wie ging es weiter?

Es kam keine weitere Mail mehr von dem Fake-Shop, sodass das Thema in Vergessenheit geriet. Der Staubsauger wurde derweil bei einem bekannten und seriösen Anbieter zum regulären Preis bestellt.

Es dauerte eine Weile bis Frau M. die Flut der Spam-Mails in ihrem Postfach mit der damaligen Bestellung bei dem Fake-Shop in Verbindung brachte.

Auffallend ist der ähnliche Aufbau der Mails

Das Grundprinzip ist bei allen ähnlich. Es werden Mails im gleichen Stil, aber mit unterschiedlichsten Themen versendet. Die Angreifer hoffen darauf, dass sich der Empfänger bei irgendeinem Thema irgendwann mal angesprochen fühlt und den Link klickt.

Auf den ersten Blick sehen die Mails alle gleich aus. Bei näherem Betrachten erkennt man jedoch bei einigen ein Muster, sodass das Gefühl aufkommt, dass sie "zusammen gehören".

3 Varianten als Beispiel

Bei der ersten Variante wird immer nur ein Name als Absender verwendet und die Absenderadressen unterscheiden sich voneinander. Der Textaufbau ist identisch, es wird nur ein anderes Thema angepriesen.

Bei der zweiten Variante besteht der Absendername immer aus zwei Wörtern und in der der Absenderadresse ist die Gemeinsamkeit durch ppobbris.com zu erkennen.

Bei der dritten Variante sind der Betreff und der Textbereich der Mails identisch. Der Absendername unterscheidet sich, jedoch ist in der Absenderadresse wieder eine Ähnlichkeit zu entdecken. Im Gegensatz zu den anderen Mails steht hier als Empfänger nicht die Mail-Adresse des Opfers, sondern die englische Übersetzung für Empfänger "Recipients".

Es könnten noch viele weitere identische Muster aufzeigt werden, doch das würde den Rahmen sprengen. Es liegt nahe, dass die Angreifer den gestohlenen Zugang auf die Mail-Adresse von Frau M. mittlerweile im Darknet weiterverkauft haben. Hier versuchen scheinbar mehrere Angreifer ihr Glück.

Fake-Shops erkennen

Fake-Shops anhand der Anzeigen zu identifizieren ist kaum möglich.

Quelle: Watchlist Internet, "Die ersten drei Anzeigen führten in unserem Test zu betrügerischen Websites."

Lassen Sie sich nicht von der Aufmachung des Shops beeindrucken. Fake-Shops sind meist Kopien real existierender Webseiten und haben ein professionelles Erscheinungsbild.

Folgende Auffälligkeiten können auf einen Fake-Shop hinweisen:

Internetadresse: Oft stimmt die Internetadresse nicht mit dem Inhalt der Webseite überein und es werden mehrere Domainendungen verwendet.
Zahlungsbedingungen: Es sollte aus mehreren Zahlungsweisen ausgewählt werden können. Wenn nur Vorkasse möglich ist, Finger weg!
Preis: Oft wird mit besonders günstigen Preisen und extrem einladenden Angeboten geworben.
Gütesiegel: Auch die Gütesiegel lassen sich fälschen. Um auf Nummer sicherzugehen, können Sie mit einem Klick auf das Siegel prüfen, ob es mit einem Zertifikat des Betreibers verlinkt ist.
Bewertungen: Finden sich auf der Webseite nur oder auch sehr viele extrem positive Bewertungen oder Bewertungen, die stark von anderen abweichen, kann dies ein Hinweis auf einen Fake-Shop sein.
AGB: Die allgemeinen Geschäftsbedingungen sind Pflicht für jeden Online-Shop. Fehlen diese oder sind in einem gebrochen Deutsch geschrieben, handelt es sich womöglich um keine echte Seite.
Impressum: Ebenso wie die AGBs ist auch das Impressum Pflicht. Wenn keins zu finden ist, ist das ein eindeutiges Indizes für eine Fake-Seite. In einem Impressum muss die Adresse, ein Vertretungsberechtigter, eine E-Mail-Adresse angegeben sein und soweit vorhanden ein Verweis auf das Handelsregister. Dieses kann auch im Zweifel überprüft werden.

Reingefallen! Was können Sie unternehmen?

Wenn bereits Geld überwiesen wurde, rät die Verbraucherzentrale dazu, sofort die Bank zu kontaktieren und die Zahlung stoppen zu lassen. Alle Belege, Mails und sonstige Nachweise über den Kauf und den Fake-Shop sollten unbedingt aufbewahrt werden.

Da es sich hier rechtlich um Betrug handelt, können die Unterlagen durch die Beratungsstellen der Verbraucherzentrale geprüft werden. Außerdem kann in diesem Fall auch Strafanzeige bei der Polizei gestellt werden.

Fazit: Seien Sie stets wachsam, wenn Sie im großen Ozean des World Wide Web surfen!

Max Mustermann

Am Haken: Phishing-Falle World Wide Web