PHISHING: Der Kampf gegen die Passwort-Fischer

Das sieht eher danach aus,als ob eine englische Seite mit einem Übersetzungsautomat, übersetzt wurde und dann notdürftig von einem nicht deutschsprachigen korrigiert wurde. Also profi Phishing ist das noch nicht.
Das dürfte aus dem Spammermilliö kommen, der Buchstabensalat am Ende des Mails weist darauf hin. Also eine Meisterleistung ist das bisher nicht. :lol:
Blos, was nicht ist, kann noch werden. Todsicher!
Leider habe ich noch kein solches Teil erhalten, obwohl ich Massenhaft Spam in meinem Filter vorfinde.

Gruß
Stieglitz
 
abgebucht aber nicht geschädigt:

Handelsblatt.com

HB BONN. Die Abbuchungen seien aber kurz darauf noch gestoppt worden, so
dass den Kunden kein echter Schaden entstanden sei, sagte eine Sprecherin der Bonner
Staatsanwaltschaft am Donnerstag und bestätigte damit einen Bericht der „Financial Times Deutschland“.

.
 
Anonymous schrieb:
abgebucht aber nicht geschädigt:

Handelsblatt.com

HB BONN. Die Abbuchungen seien aber kurz darauf noch gestoppt worden, so
dass den Kunden kein echter Schaden entstanden sei, sagte eine Sprecherin der Bonner
Staatsanwaltschaft am Donnerstag und bestätigte damit einen Bericht der „Financial Times Deutschland“.
Gut so. Zeigt aber, dass es (genug?) Leute gibt, die auf diese Mails hereinfallen.

Ich habe gelesen (c't 18/04, Leserbriefe) das z. B. die Commerzbank (conmdirekt) in der Vergangenheit sehr wohl die Kunden per Mail aufgefordert hat, entweder den Relaunch der Webseite zu besuchen oder gar Aktualisierungen vorzunehmen. Wenn das zutrifft, öffnet das die Büchse der Pandora, weil man nicht mehr sagen kann, dass Banken das grundsätzlich nicht tun. Man benötigt dann mehr Kenntnisse, Fälschungen zu erkennen. Und es ist klar, dass viele Kunden über diese Kenntnisse nicht verfügen.

M. Boettcher
 
drboe schrieb:
Wenn das zutrifft, öffnet das die Büchse der Pandora, weil man nicht mehr
sagen kann, dass Banken das grundsätzlich nicht tun. Man benötigt dann mehr Kenntnisse,
Fälschungen zu erkennen. Und es ist klar, dass viele Kunden über diese Kenntnisse nicht verfügen.

Der Grundsatz sollte schlicht sein , niemals Links in E-Mails anzuklicken , sondern nur über
die eigenen expliziten Bookmarks den Zugang zur Bank vorzunehmen.

Das sollte von den Banken stets so gehandhabt werden, an Kunden ausnahmslos
nicht mit Links versehene Mail zu verschicken, sondern nur mit der Aufforderung
die HP zu besuchen und ihre Kunden immer wieder darauf hinzuweisen , Mails mit Links
zu ignorieren bzw nachzufragen. Bei konsequenter Anwendung dieser Vorgehensweise
sollte "Phisher" keine Chance haben

cp
 
Captain Picard schrieb:
drboe schrieb:
Wenn das zutrifft, öffnet das die Büchse der Pandora, weil man nicht mehr
sagen kann, dass Banken das grundsätzlich nicht tun. Man benötigt dann mehr Kenntnisse,
Fälschungen zu erkennen. Und es ist klar, dass viele Kunden über diese Kenntnisse nicht verfügen.

Der Grundsatz sollte schlicht sein , niemals Links in E-Mails anzuklicken , sondern nur über
die eigenen expliziten Bookmarks den Zugang zur Bank vorzunehmen.

Das sollte von den Banken stets so gehandhabt werden, an Kunden ausnahmslos
nicht mit Links versehene Mail zu verschicken, sondern nur mit der Aufforderung
die HP zu besuchen und ihre Kunden immer wieder darauf hinzuweisen , Mails mit Links
zu ignorieren bzw nachzufragen. Bei konsequenter Anwendung dieser Vorgehensweise
sollte "Phisher" keine Chance haben
Guter Grundsatz, aber in der Praxis funktioniert(e) das eben leider nicht. Laut dem Leserbrief in der c't führte nämlich einer der Links einer echten Mail der echten comdirect Bank zu einem externen Dienstleister der Bank. Den wird man aber kaum in den Bookmarks haben. Und das war ausgerechnet ein Link, um die Daten zu aktualisieren. Laut Leserbriefschreiber war die Bank recht uneinsichtig und zeigte keinerlei Problembewußtsein, als sie auf eben dies Problem angesprochen wurde. Diese Bank trägt also mit dazu bei, das es Phishern gelingen kann Kontodaten abzugreifen. Andere Banken tun es vielleicht auch, wer weiß. Man besehe sich auch einmal die AGB, um zu prüfen, wer die Risiken des Verfahrens trägt. Da lohnt anstelle von Online-Buchungen der persönliche Weg zu Bank ggf. gleich mehrfach. So unangenehm ist direkte Kommunikation ja nicht.

M. Boettcher
 
Aus der Zeitung von heute:

Betrügerische E-Mails fordern erste Opfer in Deutschland

VON Renate Grimming

Hamburg - Eine neue Welle von betrügerischen Attacken über den elektronischen Postweg hat es nun auch verstärkt auf Opfer in Deutschland abgesehen. Erneut sind hier zu Lande Online-Banking- Kunden großer Kreditinstitute zur Zielscheibe geworden.

Mit betrügerischen E-Mails wurden ahnungslose Kunden auf täuschend echt erscheinende Internetseiten der Kreditinstitute gelockt und aufgefordert, ihre Kontodaten einzugeben. Erstmals verbuchen die so genannten Phishing-Mails - ein Kunstwort aus «password» und «fishing» auch in Deutschland vermeintliche «Erfolge»: Zwei Kunden der Postbank fielen auf den Schwindel herein, insgesamt 21 000 Euro sollen abgebucht worden sein.

Vorerst sind die Betroffenen noch mit einem blauen Auge davon gekommen. Nach Angaben der Bonner Staatsanwaltschaft konnten die Abbuchungen kurz darauf gestoppt werden, so dass kein echter Schaden entstehen konnte. In Deutschland sei es bislang überhaupt noch nicht zu nennenswerten Transaktionen gekommen, sagte der Karlsruher Sicherheitsexperte Christoph Fischer der dpa. «Die Banken reagieren in einem Verdachtsfall sofort.» Das Verhalten der Kreditinstitute sei «vorbildlich». Für die Banken steht schließlich ebenfalls viel auf dem Spiel, und zwar die Zufriedenheit ihrer Millionen Homebanking- Kunden. Schon wenige Erfolge der Betrüger könnten den bequemen und kostengünstigen Online-Verkehr schnell generell in Misskredit bringen.

Trotz der ersten Entwarnungen rät das Landeskriminalamt Niedersachsen zur höchsten Aufmerksamkeit. Geldinstitute würden prinzipiell keine vertraulichen Daten wie Kontonummern, PIN oder TAN per E-Mail abfragen oder um Rücksendung dieser Daten über den elektronischen Postweg auffordern. Bedauerlicherweise hätten jedoch einzelne Kreditinstitute noch vor einiger Zeit E-Mails mit Internet- Links auf ihre Websites verschickt, räumt Fischer ein. Der Kunde sollte in jedem Fall mit gesundem Misstrauen vorgehen. Um sicher zu gehen, auf den echten Internetseiten seiner Bank zu landen, sollte er grundsätzlich ein eigenes Lesezeichen (Bookmark) verwenden oder die Adresse manuell in die Kopfzeile eintippen.

Noch vor nicht allzu langer Zeit hat man die neue Betrugswelle im Internet für ein eher angloamerikanisches Phänomen gehalten. In den benachbarten Ländern und den USA gibt es diese Art von Betrug bereits seit Jahren, sagt Fischer. Nach Schätzungen des Marktforschungsinstituts Gartner entstand 2003 allein in den USA mit Phishing-Mail-Attacken ein Schaden in Höhe von 1,2 Milliarden Dollar. Nun gehen die kriminellen Datenräubern im weltweiten Netz verstärkt auch in Deutschland auf «Fischfang».

Die gefälschten Internet-Sites sehen den Originalen nicht selten zum Verwechseln ähnlich. Oftmals werden die Sites mit speziellen Werkzeugen einfach kopiert. Die Phishing-Mails, die auf die Seiten locken sollen, werden allerdings bislang wahllos wie ein Schleppnetz verteilt. Und den Deutschen kommt zugute, dass die meisten Spuren, denen die Strafverfolgungsbehörden derzeit nachgehen, bislang aus dem Ausland kommen. In einer jüngst verschickten Massen-Mail hieß es zum Beispiel: «Wir schaetzen hoch Ihr Business ein. Es ist uns ein Vergnuegen, Sie zu bedienen. Kundenunservice deutsche bank». «Das hört sich dann manchmal an, als hätte ein Deutscher Schäferhund bei den Formulierungen geholfen», scherzt Fischer.

Dennoch nehmen die Banken die Gefahr sehr ernst. Experten raten allen Empfängern solcher Mails, diese nicht zu löschen, sondern sie ihrer Bank zu schicken, damit diese sofort reagieren. In einem Netzwerk arbeiten inzwischen Experten rund um den Globus zusammen, um den Gaunern auch über die verschiedenen Zeitzonen hinweg keinen Vorsprung einzuräumen. «Wir versuchen, deren Business-Modell kaputt zu machen», sagt Fischer. Mit einem neuen Frühwarnsystem, an dem sich bereits einige Banken beteiligen, seien die Betroffenen gut gewappnet. «Mittlerweile brauchen wir im Schnitt vier Minuten bis zu vier Stunden, um das Zeug zu entsorgen», sagt Fischer. Im November soll gemeinsam mit zahlreichen Banken der Regelbetrieb aufgenommen werden. (dpa)

Quelle: Kölner Stadtanzeiger
 
KatzenHai schrieb:
Zeitung schrieb:
Mit einem neuen Frühwarnsystem, an dem sich bereits einige Banken beteiligen, seien die Betroffenen gut gewappnet. «Mittlerweile brauchen wir im Schnitt vier Minuten bis zu vier Stunden, um das Zeug zu entsorgen», sagt Fischer.
.....oder Phisher? :D

Auf jeden Fall scheint die Eindämmung dieses "Phänomens" einzigst den Banken zu obliegen, die denn auch über die technischen Voraussetzungen und das globale Know How verfügen. Nach ersten Informationen werden mit den Überweiseungen nicht irgendwelche deutsche Konten versorgt sondern beispielsweise Konten in Lettland. Die deutschen Behörden indess, ... :eek:




@ Heiko, kannst Du mal ein Emoticon für den Kopfschüttelmodus einpflegen?
 
Was mich (Auch im Hinblick auf die AGB's bei Onlinebanking) wiederum bestärkt kein Onlinebanking zu beantragen oder zu praktizieren. Die 10 min Fußweg ist es mir wert, das mein Geld bei mir bleibt.

Es reicht schon das Banken Abbuchungsermächtigungen ausführen, ohne diese zu Prüfen, ob überhaupt die richtige Unterschrift drunter ist, und sich dann weigern zurück zubuchen, oder den Ärger bei den EC Karten incl. Beweistlastumkehr. Und ich denke, das dieser Angriffsversuch erst der Anfang war, genauso wie beim spam. Und ich befürchte, das wenn dieser Angriffsversuch vermehrt vorgetragen wird, es dann irgendwann dem Kunden gegenüber heißt: "Selbst schuld". Die Banken senken durch Onlinebanking doch ihre Kosten, und ich soll als Ausgleich dafür das Risiko tragen? Neee...

mit freundlichen grüßen

Ralf Lorenz
 
GANDI

Ich habe mich jetzt hier nicht durch alles durchgelesen, aber interessant ist doch, dass der größte Teils der Domains, die fürs Phishing verwendet werden (und übrigens fast alle Domains, die über Guestbook spamming beworben werden) beim französischen Domainhändler GANDI.net registriert sind. Lässt sich dagegen eigentlich nix machen??
 
Hi!

Ich hatte vor 2 Jahren mal ein interessantes Gespräch mit einem
Bankangestellten, der für die Sicherheit beim Onlinebanking zuständig ist.

Er legte mir damals sehr ans Herz _immer_ den Link in der Browserzeile
zu kontrollieren, denn es könnte auch mal pasieren, dass Bankseiten
gehackt und auf eine identische "PIN-TAN-Sammelseite" umgeleitet werden.

Das mache ich immer. Genauso lasse ich mir den Link in der Statuszeile
anzeigen. Außerdem sollte man die Betragshöhe, die man täglich online
überweisen kann limitieren. Wie oft muss man schon mehr als 1000 EUR
auf einen Schlag überweisen? Das mache ich dann gerne persönlich am
Schalter. Das hält den Schaden in jedem Fall geringer.

Grüße

Bine
 
Bine schrieb:
Er legte mir damals sehr ans Herz _immer_ den Link in der Browserzeile
zu kontrollieren, denn es könnte auch mal pasieren, dass Bankseiten
gehackt und auf eine identische "PIN-TAN-Sammelseite" umgeleitet werden.
Der IE hatte einen Bug, der gerade diese "Sicherheitsmaßnahme" aushebelte. Darauf kann man also nicht vertrauen.
 
Es gibt einen neuen Fall von 'Phishing':

1) Die Opfer erhalten eine E-Mail, in der sie den Namen eines Kollegen angeben sollen.
2) Einige Zeit später erhalten die Betroffenen eine Mail mit der Aufforderung, sich an einem URL anzumelden, der dem URL des Arbeitgebers nachempfunden ist. Die Aufmachung der Seiten ist dem Internet-Auftritt des Arbeitgebers nachempfunden
3) Die Opfer sollen dann einen umfangreichen Fragebogen ausfüllen, in dem der oben genannte Kollege charakterisiert wird.
 
News schrieb:
Vielleicht versuchen sich ja da schon die ersten skript-kiddis, bei dem Deutsch.

Sieht ein bisschen so aus, hier nochmal eine längere Passage (aus der heute auch bei mir eingegangenen, 2. Mail. Es ist die aus den Heisenews).

"Drucken Sie unten Verknuepfung und beginnen Sie Ihr neues Konto deutsche bank zu benutzen.
Um Ihr Konto zu besichtigen, besuchen Sie bitte online-Bank.
(...)
Wir schaetzen hoch Ihr Business ein. Es ist uns ein Vergnuegen, Sie zu bedienen.
Kundenunservice deutsche bank

Diese Email-Adresse ist nur zur Kenntnisnahme.
Um mit uns Kontakt aufzunehmen, besuchen Sie Ihr Konto und schicken Sie .

umc evjoozjos btntqik hbps win

xsgttnh mromoghzjo klexpw aygzi fgrriyolf

Besonders gut gefällt mir "Kundenunservice".
Das Wort ist ja richtig gelungen :D ;)

Das Deutsch scheinen sie ja nun hinzubekommen, nur die Umlaute funktionieren nicht. Aber das ist sicher auch nur eine Farge der Zeit.

http://www.heise.de/newsticker/meldung/50749

Gruß
Stieglitz
 
stieglitz schrieb:
Phishing Betrug auch bei der Dresdner Bank. Der Betrag von € 6.500 konnte gerade noch gestoppt werden.

das ist etwas mehr als "einfaches" Phishing , hier wurde mit Hilfe von Trojanern
PIN und TAN ausgespäht:
http://www.heise.de/newsticker/meldung/50793
Basis für diese Betrügerei mal wieder Sicherheitsdefizite im IE:
Heise schrieb:
Nach den ersten Meldungen von fast erfolgreichen Betrugsversuchen
durch Phishing mit gefälschten Webseiten mehren sich nun auch die Hinweise,
dass auch Trojaner unter Windows bereits aktiv PINs und TANs abfischen und anschließend
an Betrüger weiterleiten -- dazu nutzen sie Schwachstellen im Internet Explorer.

cp
 
Captain Picard schrieb:
das ist etwas mehr als "einfaches" Phishing , hier wurde mit Hilfe von Trojanern
PIN und TAN ausgespäht:
http://www.heise.de/newsticker/meldung/50793
Basis für diese Betrügerei mal wieder Sicherheitsdefizite im IE:
Heise schrieb:
Nach den ersten Meldungen von fast erfolgreichen Betrugsversuchen
durch Phishing mit gefälschten Webseiten mehren sich nun auch die Hinweise,
dass auch Trojaner unter Windows bereits aktiv PINs und TANs abfischen und anschließend
an Betrüger weiterleiten -- dazu nutzen sie Schwachstellen im Internet Explorer.

Dann sind die Banken aber in großem Maßstab mit schuldig, da z.B. bei der Sparkasse ohne IE normalerweise nix geht.
Was bringt ein "sichererer :p " Alternativbrowser, wenn er von den Banksystemen nicht unterstützt wird?

MfG
L.
 
Zurück
Oben