VISA Phishing-Attacke

Wie erkenne ich eine Phishing-Attacke?

Als Beispiel zeigen wir oben eine Phishing-Attacke auf VISA-Benutzer, die sehr schickt gemacht ist. Erst bei näherem Hinsehen erkennt man die Bösartigkeit. Die Kriminellen haben sie ohne Rechtschreib- und Grammatikfehler verfasst, was normalerweise ein wichtiges Merkmal für Phishing-Mails darstellt.

Diese sind oft in sehr schlechtem Deutsch durch automatische Übersetzer erzeugt und dementsprechend von Grammatikfehlern und unpassenden Wörtern geprägt. Achten Sie also auf komische Formulierungen wie: "Dies ist verry wichtig für Ihre Kreditkarte Sicherheit" oder "Bitte laden Sie das beigefügte Formular und füllen Sie alle Schritte".

Ein weiteres häufiges Merkmal für Phishing-Mails ist eine unpersönliche oder ganz fehlende Anrede. Außerdem haben es Phisher oft eilig: "Wenn Sie nicht innerhalb der nächsten zwei Tage Ihr Passwort ändern, wird ihre Kreditkarte gesperrt." Die meisten Bankinstitute setzen auf den althergebrachten Postweg, eBay gibt immer Vor- und Nachname an. Aber selbst wenn Ihr Name in der Mail steht, ein gewisses Misstrauen sollte dennoch vorhanden sein.

Ein weiteres Merkmal ist, dass der Domain-Name der Phishing-Webseite nicht zum vermeintlichen Absender der E-Mail und eigentlichen Vertragspartner passt. Zumeist finden sich auf den gefälschten Seiten Domain-Namen, die ähnlich klingen wie die Seiten der offiziellen Anbieter (z.B. www.deutschbank.org statt www.deutsche-bank.de).

Ratgeber: Die besten Windows-Sicherheits-Tipps

Auch von der optischen Erscheinung sind die bösartigen Seiten den Originalseiten nachempfunden und für den Anwender schwer als Fälschungen zu identifizieren.

Manchmal verwenden Phishing-Seiten sogar gefälschte Zertifikate, dennoch ist eine fehlende SSL-Verbindung eines der wichtigsten Merkmale für einen Betrugsversuch. Alle modernen Browser zeigen den Zertifikatsinhaber (also die Bank) mit Namen in einem grünen Balken an. Das sollte der Kunde bei jeder Transkation prüfen.

Auch sollte der Anwender immer sehr misstrauisch sein, wenn er bereits beim Login eine TAN angeben oder auf dem Handy ein Tool nachinstallieren soll. Die Bank fragt TANs immer erst bei der konkreten Überweisung selbst ab.

Domains in kyrillischer Schrift

Mit Domains in nichtlateinischer Schrift sind so genannte homografische Angriffe möglich: URLs verwenden das kyrillische "a" anstelle des lateinischen "a", sodass der Besucher in der Adresszeile keinen sichtbaren Unterschied zur Originaladresse sieht. Dennoch ist es eine andere Domain. Hiergegen hilft nur das händische Eingeben der Adresse, was zwar mühsam, aber sicher ist.

Eine andere Variante des Phishings ist die Verfälschung der Hosts-Datei im Betriebssystem. Ein Trojaner nimmt gezielt Manipulationen an dieser Datei vor. Sie enthält rechnerspezifische Domainnamen-Einträge. So kann der Phisher beispielsweise www.sparkasse.de auf seine eigene Webseite umleiten.

Ratgeber:Grundausrüstung für Windows

Banken haben schon eine gewisse Routine entwickelt, falsche Webseiten löschen zu lassen. Laut einer Studie der Universität Cambridge (The impact of incentives on notice and takedown) schaffen es Banken inzwischen im Durchschnitt binnen vier bis acht Stunden Phishing-Seiten zu löschen - wenig Zeit für den Phisher.

Visa-Attacke

In Beispiel der "Verified by Visa"-Phishing-Attacke verzichtete der Angreifer komplett auf eine richtige Domain, sondern blendete in der Adresszeile einfach nur die IP-Adresse ein. Die Phishing-Website selber lag als Subseite in einer regulären Webseite.

Dazu knackten die Kriminellen die Webseite einer Filmproduktionsfirma als Host und schoben ihren Betrug unter. Die Eingabemaske wurde entweder im E-Mail Programm direkt als HTML (bei Spam) oder als Website (Bei Blackhat-SEO) angezeigt.

So haben Phisher keine Chance

1. Verwenden Sie ein aktuell gehaltenes Anti-Viren-Programm
2. Vorsicht mit E-Mails von der Bank
3. Auf gutes Deutsch und eine korrekte Anrede achten
4. Echte Bank-Mails sind oft signiert und fordern nie zum Login auf
5. Vorsicht mit Links aus Facebook und Twitter, die zu Logins führen
6. Im Web auf SSL achten (grüner Balken in der Adresszeile)
7. Keine TANs beim Login eingeben. Die Bank fragt TANs nur bei Transaktionen ab.
8. Nichts Dubioses auf dem Handy installieren, wenn Sie mTANs verwenden

Der Anhang in dieser Mail schickte uns zu einer Login-Eingabemaske. Bereits jetzt schrillten allerdings die Alarmglocken: Die Seite zeigte keinen Seitenkopf und keine Fußzeile. Wenn der Anwender aber in der Statuszeile die richtige Webadresse einblendete, sah er keine Visa-URL, sondern nur eine IP-Adresse.

Ratgeber: Die besteSecurity-Freeware

Diese ist inzwischen nicht mehr erreichbar bzw. wird vom Microsoft-SmartScreen-Filter gesperrt. Das Design der Seite wirkte professionell und fehlerfrei. Besonders raffiniert: Die Betrüger verwendeten für Teile der Seite, wie zum Beispiel die Logos oder den Copyrightverweis, Links zu der echten Visa-Webseite.

Dies machte es schwerer, den Betrug zu durchschauen. Besonders makaber war, dass die Betrüger nach dem Absenden der Login-Daten, sozusagen als Dankeschön, die originale Bankseite einblendeten.