Netflix Phishing: Besondere Gefahr für Gmail-Nutzer?

Der Spam- und Phishing-Filter von Gmail gilt eigentlich als einer der besten auf dem Markt. Aber eine 100-prozentige Sicherheit gibt es auch bei Googles kostenlosem Mail-Service nicht. Nun ist ein ausgeklügelter Fall von Phishing-Betrug bekannt geworden, der es auf Netflix-Abonnenten abgesehen hat. Cyberkriminelle missbrauchen dafür eine eigentlich nützliche Funktion von Gmail.

Entdeckt wurde die Attacke vom britischen Entwickler James Fisher. Dieser erhielt in Gmail eine authentische E-Mail von Netflix, die ihn über Probleme mit seiner Zahlungsmethode informierte. Der Netflix-Account sei stillgelegt, bis er seine Kontoinformationen aktualisiert habe, heißt es in der Nachricht. Die E-Mail stammte offiziell direkt von Netflix.

Gmail ignoriert Punkte in der Adresse

James Fisher klickte auf den Link in der Netflix-Mail und wurde erst stutzig, als er die letzten Ziffern seiner angeblich nicht mehr gültigen Kreditkartennummer nicht wiedererkennen konnte. Bei näherer Untersuchung bemerkte er dann, dass die E-Mail nicht an seine eigentliche E-Mail-Adresse nach dem Muster "benutzername@gmail.com" geschickt worden war. Stattdessen war eine mit Punkt unterbrochene Variante wie "be.nutzername@gmail.com" das Ziel. Doch Gmail unterscheidet beide Varianten im Vergleich zu den meisten anderen E-Mail-Anbietern nicht - die Punkte werden ignoriert.

Dieses eigentlich praktische Gmail-Feature kann jedoch zur Sicherheitslücke werden. Fisher vermutet folgende Betrugsmasche der Angreifer:

1. Der Angreifer legt einen neuen Netflix-Account an und gibt mögliche gmail.com-Adressen an, bis Netflix meldet, dass die Adresse bereits registriert sei - z.B. "benutzername@gmail.com"
2. Nun legt der Angreifer einen Netflix-Account mit der E-Mail-Adresse "be.nutzername@gmail.com" an.
3. Als Zahlungsmethode nutzt der Angreifer einen Probe-Account bei einem Wegwerf-Kreditkartenanbieter.
4. Sobald Netflix die Karte als "aktiv" kennzeichnet, storniert der Angreifer die Wegwerf-Kreditkarte.
5. Sobald nun Netflix versucht, die stornierte Kreditkarte zu belasten, wird automatisch die E-Mail-Nachricht an "be.nutzername@gmail.com" geschickt, dass der Nutzer bitte seine Kontoinformationen aktualisieren solle.
6. Der Nutzer erhält die E-Mail auf seiner Adresse "benutzername@gmail.com", wird durch den Klick auf den Link darin direkt in den falschen Account eingeloggt und hinterlässt seine validen Zahlungsinformationen.
7. Der Angreifer kann nun Netflix auf Kosten des Opfers nutzen.

Fisher erörtert in seinem Blogpost anschließend, inwiefern Netflix und Google für die Angriffsmöglichkeit verantwortlich sind. Sicherheitsexperte Bruce Schneier wiederum analysiert, dass es das Problem weder die Schuld von Google noch Netflix sei. Es sei lediglich ein Beispiel zweier Systeme ohne Sicherheitslücke, die zusammenkommen und dabei eine Sicherheitslücke produzieren. Die Frage der Verantwortlichkeit sei daher schwer zu beantworten.

Einige Zweifel bleiben

Die von Fisher beschriebene Phishingmasche erscheint in der grundlegenden Wirkungsweise plausibel. Uns macht lediglich stutzig, dass Fisher eigentlich auch eine Willkommens-Mail von Netflix erhalten haben müsste, als der Angreifer den neuen Account angemeldet hat. In einem Testversuch der Redaktion haben wir diese erhalten. Schon hier hätte die Phishing-Attacke daher eigentlich auffliegen müssen.

Lesetipp: 10 wichtige Fragen zu Netflix in Deutschland 

Nichtsdestrotz zeigt der vermeintliche Scam-Versuch wieder einmal: Wenn es um eine Aktualisierung der Kontodaten oder Zahlungsmethoden geht, sollte man immer genau hinsehen. Woher kommt die E-Mail? Ist die E-Mail authentisch? Gibt es einen plausiblen Anlass? Wohin führen die Links? Bin wirklich ich der Adressat? Nur wenn die E-Mail einer intensiven Prüfung standhält, sollten Sie diese ernstnehmen.