Neue Gefahren beim Online-Zahlungsverkehr

Ob durch Phishing oder Pharming - Betrüger versuchen immer wieder, an persönliche Daten von Internet-Nutzern zu gelangen. Kriminelle versuchen, Passwörter, Geheimnummern oder sonstige persönlichen Daten entweder abzufischen (Phishing) oder zu ernten (Pharming). Mit den Daten soll dann über das Internet an das Geld der Opfer gelangt werden.

Beim Pharming kann auch der sorgfältigste Internetnutzer ein Opfer von Angriffen werden. Für Pharming muss ein Programm auf den Rechner des Nutzers gelangen. Dieses gelangt etwa über Viren, Trojaner oder Würmer, die im Anhang von Spam-E-Mails versteckt sind, auf den Rechner.

Bei einem Pharming-Angriff gelangt auch der Nutzer auf eine falsche Seite, der keinen Link in einer Phishing-Mail folgt und stattdessen die URL manuell im Internet-Browser eingibt oder die Seite über einen Favoriten-Link aufruft. Die Seite sieht dann zwar unverdächtig aus und wird auch in der URL-Leiste aufgeführt, der Nutzer befindet sich aber eigentlich auf dem Server eines Angreifers.

Am einfachsten lässt sich ein Pharming-Betrug anhand eines kleinen Symbols am rechten unteren Rand des Bildschirmes erkennen. Dies ist ein kleines Vorhängeschloss-Symbol. Zeigt dieses ein geöffnetes Schloss an, ist höchste Vorsicht geboten: Es sollte dann nichts weiter auf dieser Seite getan werden, denn es liegt in diesem Fall Betrug vor. Entdeckt ein Internet-Nutzer eine Pharming-Seite - beispielsweise bei seiner Hausbank - ist Eile geboten. Besonders wichtig ist es dann, dass der Kunde sein Online-Konto ungehend sperrt und Kontakt zu seiner Bank aufnimmt. In einem zweiten Schritt sollte er bei der Polizei Anzeige erstatten, wozu etwa Tanja Beller, Pressesprecherin des Bankenverbandes, mahnt. Denn wer zu spät reagiert, muss den Schaden zumeist selbst tragen.

Auf der Webseite www.a-i3.org bietet die Arbeitsgruppe Identitätsschutz im Internet der Ruhr-Universität Bochum allgemeine Informationen zu Pharming und Phishing.

(Quelle: O. V.: Neue Gefahren beim virtuellen Zahlungsverkehr, in: www.heute.de, Zugriff am 8.11.2005)

Phishing: Online-Bankbetrug in Millionenhöhe

Das Nachrichtenmagazin Focus meldete, dass deutschen Bankkunden im Jahr 2005 mindestens 4,5 Millionen Euro durch Online-Phishing verloren gegangen sind.

Weiterhin liegen laut Focus den 16 Landeskriminalämtern (LKA) über tausend Phishing-Fälle vor. Diese Zahl stellt sicher nur die Spitze des Eisbergs dar, so Andreas Klingbeil vom Kommissariat zur Vermeidung von Computerkriminalität des LKA Berlin.

Teilweise konnte das transferierte Geld wieder beschafft werden, in den meisten Fällen ist jedoch ein tatsächlicher Schaden, oftmals in fünfstelliger Höhe, entstanden. Die Beträge wurden dabei meist gesplittet und finden sich dann per Überweisung im Ausland wieder, wo sie allerdings dem Zugriff der deutschen Behörden entzogen sind.

(Quelle: Aktuelle Meldung auf www.testticker.de, Abruf am 24.10.2005)

Phishing mit digitalen Zertifikaten

Das Unternehmen Surf Control warnt vor einem neuen Phishing-Trick: Secued Phishing. Hierbei setzen die Betrüger digitale Zertifikate ein, um die Anwender zu veranlassen, vertrauliche Daten herauszugeben. Digitale Zertifikate werden von verschiedenen Seiten, beispielsweise von Banken, ausgegeben. Wenn ein Anwender eine Website mit einem digitalen Zertifikat aufruft, erscheint ein Pop-Up-Fenster, in dem der Nutzer bestätigen muss, dass er dem Angebot vertraut und fortfahren möchte. Bei bekannten Seiten gerät diese Bestätigung zur Routine.

SurfControl berichtet von einem Fall, bei dem die Betrüger eine E-Mail mit einem Link zu einer gefälschten Seite und einer Aufforderung, Kontodaten zu aktualisieren, verschickten. Diese Phishing-Seite bot dem Anwender ein Zertifikat an und hatte eine https-Aufmachung sowie das Vorhängeschloss-Symbol für eine gesicherte Verbindung. SurfControl-Vice President Susan Larson vertritt die Auffassung, dass insbesondere das Zertifikat für ein erhöhtes Sicherheitsgefühl beim Anwender gesorgt habe und nur wenige Nutzer es näher untersucht hätten. Man sei gewöhnt, hier einfach auf Ja zu klicken. Inzwischen ist diese Phishing-Seite wieder vom Netz.

(Quelle: Aktuelle Meldung auf www.silicon.de, Abruf am 23.09.2005)

Neue Methode zum Ausspionieren von Passwörtern

Zum Ausspionieren von Passwörtern wird immer öfter die hohe Popularität von Weblogs (Blogs) ausgenutzt. Folgt ein Anwender einem bestimmten Link, so landet er in einem so genannten Blog, der auch auf einer unverdächtigen Seite verborgen sein kann. So können unbemerkt Trojanische Pferde und Spyware auf den PC geladen werden. Diese enthalten u.a. einen Key-Logger, der Tastatureingaben überwacht, um eingegebene Passwörter und weitere Daten zu protokollieren. Auch so genannte Backdoors können installiert werden, die eine Fernsteuerung des PCs über das Internet ermöglichen. In vielen Fällen werden Mails von vermeintlich bekannten Firmen versandt. Die Empfänger laden dann durch Anklicken versehentlich die Blogs herunter. Damit werden z. B. Kundendaten zum Online-Banking ausspioniert.

(Quelle: Artikel Phisher locken Opfer in Blogs vom 13.4.2005 von www.pcwelt.de)

Zunehmende Gefahr für Internetnutzer durch Phishing

Unsere Experten haben ermittelt, dass in etwa jedem zweiten Rechner ein Trojaner steckt und die Passwörter der Postbank auch weitergeschickt wurden! Um dieses Problem zu lösen, wollten wir jeden einzelnen Kunden erneut identifizieren, um so die Betrüger zu stoppen! Mit diesem Verfahren versuchen wir, Ihnen die höchste Sicherheit zu bieten! Nur so können wir Sie in Zukunft identifizieren und nur Sie werden Zugriff auf ihr Konto haben! Bitte loggen Sie sich jetzt in Ihr Konto ein (die Einwahl soll unbedingt von zu Hause erfolgen). - so der Wortlaut einer neuen Art von Spam-Mails. Wenn Ihnen solche E-Mail-Texte bekannt vorkommen, sollten Sie Ihre Konten schnellstmöglich überprüfen. Derartige Spam-Mails, auch als Phishing (Fishing gesprochen) bezeichnet, sind in Deutschland in den letzten Wochen verstärkt verschickt worden.

Wer dem Link folgt, gelangt zur einer vertrauenswürdig erscheinenden Seite, die der Website der eigenen Bank oft täuschend ähnlich sieht. Mit den auf diesen Seiten abgefragten Daten werden dann die Kreditkarten beziehungsweise Konten der Getäuschten geplündert oder auf ihre Kosten eingekauft.

Experten schätzen, dass die mafiös organisierten Banden, mit derartigen Spam-Mails und gefälschten Seiten Gewinne im sechs- bis achtstelligen Bereich pro Monat erzielen. Einen wirkungsvollen Schutz gegen diesen Betrugsversuch gibt es jedoch nicht. Von daher kann Christoph Fischer, Geschäftsführer von BFK edv-consulting, den Nutzern nur empfehlen, nicht auf derartige E-Mails zu reagieren.

Dabei steht Deutschland erst am Anfang dieser Entwicklung. In den USA hat Phishing bereits die Ausmaße gefährlicher Viren-Attacken angenommen. Vor kurzem nahmen sich Betrüger die Kunden einer US-Bank zum Ziel. Jedoch gelang es den Sicherheitsexperten von MessageLabs, einem Anbieter von E-Mail-Sicherheits-Tools, 125.000 Phishing-Mails in nur fünf Stunden abzufangen. Wer den Link in der Phishing-Mail anklickte, wurde zu einer 1:1-Kopie der Bank-Site geleitet, die auch von Experten nur schwer als Fälschung erkannt wurde. Hier wurden die Kunden dann zur Eingabe Ihrer Konto- und Kreditkartendaten aufgefordert, mit der Folge, dass die Konten sofort geplündert worden wären.

Noch vor einem Jahr gab es nur selten derartige Betrugsfälle, aber nun registriert MessageLabs monatlich 250.000 Phishing-Mails. Um erfolgreich zu sein, müssen die Betrüger möglichst schnell eine große Zahl von Mails versenden und mit einem äußerst knapp bemessenen Zeitfenster sicherstellen, dass das angegriffene Unternehmen seine Kunden nicht rechzeitig schützen kann.

In Deutschland mussten auch die Postbank, die Volksbank und der Bundesverband deutscher Banken (BdB) kürzlich vor Phishing warnen. Einige hundert Kunden sollen jedoch schon auf die Betrüger hereingefallen sein. Denn Phishing ist für den normalen Nutzer nicht sofort zu erkennen.

Beispiel einer Phishing-Mail, die sich an vermeindliche Postbankkunden richtet:


(Klicken Sie auf die Abbildung, um eine vergrößerte Darstellung zu erhalten.)

Hier einige Faustregeln, um nicht auf Phishing hereinzufallen:

1. Von Banken oder anderen Unternehmen werden in der Regel keine Mails verschickt, die zur Eingabe sensibler Daten auffordern.
   
2. Die Adresse sollte von Ihnen immer selbst in den Browser eingetippt werden, niemals dem Link der Mail folgen. Auch sollte immer eine SSL-Verschlüsselung verwendet werden.
   
3. Wenn möglich, sollten Sie im Quelltext der Mail überprüfen, auf welche Site der angegebene Link tatsächlich verweist.

(Quelle: internetworld Ausgabe 10/2004, S. 28)

Neue Sicherheitslücke durch Sonderzeichen in Domain-Namen

Ein neuer Trick ermöglicht es den so genannten Phischern, Internetnutzern URLs in Internet-Browsern vorzutäuschen. Eine Demonstration der neuen Schwachstellen wurde in der Mailingliste Full Disclosure veröffentlicht. Danach wurde den Anwendern vorgegaukelt, eine Seite der Domain paypal.com zu besuchen. Auch die Ansicht der Seiteninformationen im Browser Firefox ließ zunächst keine Zweifel an der Authentizität der Seite aufkommen; ebenso wurde nicht vor einem ungültigen Zertifikat gewarnt. Erst die Anzeige des vollständigen Zertifikats offenbarte, dass es zwar gültig, nicht aber für paypal.com ausgestattet worden war.

Die Ursache des Problems ist die Unterstützung von Internationalized Domain Names (IDN), die die Verwendung länderspezifischer Sonderzeichen ermöglicht. So können Domainnamen seit dem 1. März 2004 in Deutschland auch Umlaute wie ä, ü oder ö enthalten, international zudem etwa kyrillische Zeichen. Das Problem dabei: Ein kyrillisches kleines a sieht genauso aus wie ein lateinisches. Lediglich der so genannte Unicode unterscheidet sich. Beim genannten Beispiel ist das erste a in paypal.com in Wirklichkeit ein kyrillisches, der Link führt also nicht auf die paypal.com-Website; die Übermittlung sensibler Daten an Unbekannte ist somit möglich.

Nutzer des Internet Explorers sind zurzeit von diesem Problem nicht betroffen, da hier standardmäßig keine derartigen internationalisierten Domainnamen unterstützt werden. Anwender der Browser Firefox oder Mozilla sollten die Unterstützung von IDN deaktivieren, so dass der Phishing-Trick nicht mehr funktioniert: In der Adressleiste gibt man dazu about:config ein und setzt daraufhin network.enableIDN auf false.

Noch unklar ist, wie das Problem grundsätzlich behoben werden kann.

(Quelle: heise.de-News vom 07.02.2005)

ECC-Konjunkturindex