Bankkunden leiden seit Jahren unter Phishing-Wellen, die darauf abzielen, Kontenzugangsdaten abzugreifen. Aktuell warnen die Verbraucherzentralen vor personalisiertem Phishing, dass auf Kunden von Ing, DKB, Postbank etc. zielt. Ich greife das Thema daher heute erneut auf, um die Leserschaft erneut für diese Thematik zu sensibilisieren.
Anzeige
Postbank im Fokus
Durch den IT-Umzug der Postbank-Kunden auf die IT-Infrastruktur der Deutsche Bank – das dauert seit dem Jahreswechsel – kommt es bei dieser Kundschaft zu einige Irritationen. Fehlfunktionen, Änderungen der Kundenzugänge, neue Apps für das Online-Banking und so weiter (siehe Links am Artikelende). Das ist ein gefundenes Fressen für Phisher. Mir ist kürzlich folgende Phishing-Mail in eines meiner Postfächer geschneit, die das Thema adressiert.
Sehr geehrte Postbank-Kunden,
Wir möchten Sie darauf hinweisen, dass es notwendig ist, Ihre Kontoinformationen zu aktualisieren, um sicherzustellen, dass Ihr Konto sicher bleibt und Sie weiterhin alle Funktionen nutzen können. Bitte folgen Sie dem unten stehenden Link, um Ihre Daten zu aktualisieren:
AKTUALISIEREN
Es ist wichtig, dass Sie diese Aktualisierung so bald wie möglich durchführen, um sicherzustellen, dass Ihr Konto nicht eingeschränkt wird. Wenn Sie Fragen oder Bedenken haben, zögern Sie bitte nicht, uns zu kontaktieren.
Vielen Dank für Ihre Zusammenarbeit.
Mit freundlichen Grüßen,
Das Postbank-Team
Wurde auf web.de automatisch als SPAM erkannt und im betreffenden Ordner einsortiert. Ich habe die Mail extra vom web.de-Web-Postfach (wo die Mail-Details zum Absender schlecht zu erkennen sind) zur Anschauung mal auf meinen E-Mail-Client senden lassen. Der Phishing-Text klingt schlüssig und könnte Postbank-Kunden durchaus ansprechen. In obigem Screenshot ist aber zu erkennen, dass der Absender nicht passt und der Link AKTUALISIEREN auf eine obskure Webseite führt. Eine Prüfung des Ziels auf virustotal.com zeigte mir, dass bereits drei Anbieter die URL als schädlich aufweisen.
Netzwelt hatte im Mai 2023 in diesem Artikel eine weitere Phishing-Kampagne, die das von der Postbank eingeführte BestSign aufgreift, angesprochen. Dort wird ein "Update der BestSign-App" als Aufhänger genutzt. Mit dem aktuell bekannt gewordenen Datenleck (siehe Datenleck bei Postbank und Deutscher Bank) sollten Postbank-Kunden sich auf Missbrauch einstellen.
Anzeige
Warnungen der Verbraucherzentrale
Die Verbraucherzentralen warnen ebenfalls vor Phishing-Angriffen auf Bankkunden. Die Tage bin ich über diverse Medienberichte auf neue Phishing-Kampagnen, die auf Bankkunden zielen, aufmerksam geworden.
Laut obigem Tweet warnt die Verbraucherzentrale vor einer neuen Phishing-Bedrohung, die sich gezielt an Kunden der Deutschen Kreditbank (DKB) und ING richtet. Die professionell gestalteten, aber betrügerischen E-Mails fordern die Kunden auf, ihre Daten zu aktualisieren, um weiterhin auf ihre Konten zugreifen zu können.
Bei heise wird hier ein Warnung der Verbraucherzentrale vor personalisiertem Phishing aufgegriffen (siehe auch nachfolgende Ausführungen). Eine gute Anlaufstelle für aktuelle Warnungen ist das Phishing-Radar der Verbraucherzentrale. Hier ein Auszug aktueller Phishing-Kampagnen der letzten Tage:
-
06. Juli 2023: N26 Phishing mit direkter Anrede betrifft die Kundschaft der N26. Gestartet wird die Mail, indem man direkt mit seiner Mail-Adresse gegrüßt wird, heißt es. Anschließend folgt die typische Phishing-Masche: die Karte sei aufgrund veralteter Informationen vorübergehend gesperrt, sodass man "dringend" die Kontoinformationen über einen Link innerhalb der Mail aktualisieren müsse. Andernfalls könne man keine weiteren Dienstleistungen für die Person anbieten.
-
05. Juli 2023: Zweifache Belastung auf Postbank-Konto: Die Kundschaft der Postbank wird per Phishing-Mail informiert, dass angeblich das Konto zweimal nach einem Einkauf belastet worden wäre. Um dieses Problem zu lösen und die fälschliche Transaktion zu stornieren, müsse man sich nur 2 Minuten Zeit nehmen und die Stornierung über den Link innerhalb der Mail durchführen. Um zu unüberlegtem Handeln zu animinieren, wird zum Schluss behauptet, dass bei einem Ausbleiben der Stornierung am heutigen Tage, die Transaktion nicht mehr storniert werden könne.
-
04. Juli 2023: DKB-Kundschaft in Phishing-Mail zu Datenüberprüfung angehalten: Phishing-Mails im Namen der Deutschen Kreditbank (DKB) mit dem Betreff "Ihr Profil muss aktualisiert werden" fordern Empfänger zum Handeln auf. Thematisch geht es um eine automatisierte Mail, welche über angebliche tägliche Sicherheitsupdates informieren soll. Dabei geht es im Speziellen um die Aktualität und Sicherheit der eigenen Kontodaten. Die Kundschaft wird dazu angehalten die Kontoinformationen zu überprüfen, da man sonst das Kundenkonto sperren müsse, falls eine Überprüfung nicht innerhalb von 48 Stunden durchgeführt werde. Als typische Vorgehensweise bei dieser Art von Betrugsversuchen ist auch hier ein Button verlinkt, den man für die Kontoüberprüfung nutzen solle. Zum Abschluss wird betont, dass dieser Vorgang insbesondere der Sicherheit diene.
-
03. Juli 2023: Phishing-Mail mit persönlicher Anrede im Namen der ING: In der aktuellen Phishing-Mail werden Empfänger darüber informiert, dass Ihr Kontozugriff bereits eingeschränkt wurde. Dementsprechend seien Bargeldabhebungen, Zahlungen in Geschäften und im Internet, sowie Überweisungen momentan nicht möglich. Angeblich erfolgte diese Einschränkung aus "Sicherheitsgründen". Um diese "Kontofunktionen wiederherzustellen", ist eine Aktualisierung Ihrer Kontoinformationen notwendig.
Alle diese Mails sind Phishing-Angriffe, die die Empfänger zur Preisgabe sensitiver Daten verleiten sollen. Die Empfehlung: Die Mails sofort löschen. Ist man auf den Phishing-Versuch hereingefallen, sollte man sofort seine Zugangsdaten (sofern noch möglich) für den Online-Zugang ändern und unverzüglich mit der Bank Kontakt aufnehmen,.
Wie man vermeidet, Phishing-Opfer zu werden
Für die Blog-Leserschaft: Weist eure Klientel auf einen besonderen Sachverhalt hin. Alle mir bekannten Banken sind seit langem dazu übergegangen, dass die Kommunikation mit Kunden bezüglich Online-Kontendetails ausschließlich über ein internes Postfach des jeweiligen Online-Kontos erfolgt. Es gibt höchstens den Hinweis, dass eine neue Mail im persönlichen Bereich im Konto vorliegt. Also ggf. am Online-Konto mit der bekannten URL der Bank anmelden und dort nachschauen. Solange die Phisher keine Bank-Infrastruktur mit diesem Mail-System hacken, sollte man sicher sein.
Ähnliche Artikel:
Postbank-Störungen: Neue Postbank-App – "The Master of Desaster" (2. Jan. 2023)
IT-Umzug der Postbank ab 31.3.2023
Postbank geht am 30. Juni 2023 bis zum 3. Juli wieder in den Wartungsmodus
Datenleck bei Postbank und Deutscher Bank
Anzeige
Leider kann man noch so oft warnen, Viele klicken trotzdem auf den Link und geben die Daten ein.
Das ist nicht mal böse gemeint aber auch viel Ältere nutzen Onlinebanking die eben nicht so viel Ahnung von PCs haben. Und wenn die Phishing-Mails immer besser gemacht sind fallen sie darauf herein.
Meiner Meinung nach haben da auch die Banken schuld. Um Kosten zu sparen werden immer mehr Menschen dazu gedrängt ihre Bankgeschäfte online zu erledigen um Filialen zu schließen. Früher wäre doch keiner auf die Idee gekommen seinen schon im Seniorenalter befindlichen Verwandten Onlinebanking zu empfehlen. Die konnten an den Schalter der im Ort befindlichen Bank oder Sparkasse gehen und Ihnen wurde vom Personal geholfen.
Da fragte der Bankangestellte auch wenn auf einmal so viel Geld abgehoben werden soll.
Guten Abend Daniel
Danke, ein guter Beitrag.
Zitat:
….haben da auch die Banken schuld. ……werden immer mehr Menschen dazu gedrängt ihre Bankgeschäfte online zu erledigen um Filialen zu schließen…..
Zitat Ende
So sieht es aus.
Banken sind per se keine Wohlfartsinstitute, sondern reine Geldvermehrmaschinen. Denen ist es vollkommen gleich, welcher Mensch da auf der Strecke bleibt.
Und ja, sie versuchen tatsächlich Menschen zu nötigen, Onlinebanking zu tätigen. Wie oft habe ich schon in den letzten 4 Jahren Menschen begleitet, die entweder ein neues Konto eröffnen wollten oder zu einer anderen Bank wechselten. Und wie oft habe ich live miterlebt, wie dann die Sachbearbeiterin den ahnungslosen Kunden das OB aufdrücken wollte, gegen den offensichtlichen Willen der neuen Kunden.
Dann nämlich, wurden die Gesichter recht finster und es wurde versteckt mit angeblichen Nachteilen gedroht, wenn man sich nicht dem OBankingwillen unterwirft.
Ich habe mich dann eingeschaltet und der Dame ganz klar gesagt, daß wenn sie nicht das Konto so einrichtet, wie die Kundin es hier gerade möchte, ich sofort den Filialleiter sprechen möchte. Dann ging es doch ohne OBanking, ganz flott sogar.
lG
Das beobachte ich auch. Mein Vater ist in dem Alter, Onlinebank und er, das kommt nicht mehr zusammen. Handschrift ist auch nicht mehr so sein Ding. Momentan holt er auf der Filiale die Überweisungsscheine, ich fülle sie ihm aus und er bringt sie hin. Die Filiale wird aber bald geschlossen, dann müsste er nach Frankfurt rein. Ich weiß noch nicht, wie wir dieses Problem lösen.
Guten Abend
Ich weiß zwar nicht bei welcher Bank ihr Vater ist, aber seriöse Banken bieten Telefonbanking an.
Von der Deutschen Bank und Hypovereinsbank weiß ich, daß diese Telefonbanking anbieten.
Ist ne tolle Sache.
Anrufen, eine Spezialtelefonnummer , und man hat einen lebenden Menschen am Telefon. Da kann man alles machen. Überweisung, Kontoabfragen, auch noch nicht verbuchte aber vorgemerkte Posten, Daueraufträge einrichten oder löschen oder ändern usw….alles bequem von zu Hause.
Banken, die das nicht mehr anbieten, erachte ich als unseriös und die scheinen mutmaßlich Geldnöte zu haben, da sie diese Arbeitsplätze wegrationalisieren – meine persönliche Meinung.
lG
Ich hatte für meine Mutter damals auf ihren eigenen Wunsch onlinebanking gemacht. Ich durfte das pflegen und wenn etwas Anstand lag es auch meinem Tisch. Hab ihr von allem immer einen Ausdruck gegeben und damit war für sie das auch transparent und ordentlich. Apps gab es damals nicht, wäre aber auch nicht auf das Smartphone gekommen.
Kann ich nur empfehlen. Zumal das auch günstiger wird, als Überweisungen ausfüllen.
Ist halt auch eine Sache des Vertrauens, gelle.
Pisher stellen dazu mehr und mehr auf SMS/Chat um.
Wenn man solche Meldungen liest:
"borncity.com/blog/2023/07/08/zwei-file-manager-apps-im-google-play-store-transferieren-daten-nach-china/" weiss man immer gleich das da Name,Vorname/Telefonnummer Paare aus den Kontaktbüchern in grosser Zahl gesammelt werden und die Pishing SMS mit persönlicher Ansprache nicht lange auf sich warten lässt.
(openphish.com ist ne schöne Seite um so den Stand der Pishing Technik zu beobachten.)
Ja, gerade auf dem Handy meiner Frau eine SMS zum Ende der SecureGo-App der Volksbank – natürlich nicht von der VB…
Solche Phishing-Mails erhalte ich auch laufend. Die schaue ich mir allerdings nicht mehr an. Da ich mit Banken, Versicherungen, Ämtern etc. nur über Mail-Adressen kommuniziere, die zum "normalen" Mailen nicht verwendet werden, kommen die Phishing-Mails immer auf den "falschen" Adressen an. Somit sind sie sofort zu erkennen und werden gleich entsorgt.
Viele Leute verfallen bei solchen Mails leider in den Panikmodus und schalten das Hirn ab.
Dabei sollte man erst ein mal Ruhe bewahren und sich die Mail genau anschauen und dann das Hirn einschalten.
Wenn man so eine Mail bekommt, sollte man sich zuerst fragen, ob man denn der Bank überhaupt die E-Mail Adresse mitgeteilt hat.
Dann schreibt einen die Bank nie mit "Sehr geehrte Kunden" an, sondern immer persönlich mit Namen.
Und dann kommt noch hinzu, das, wie schon im Beitrag erwähnt, Banken heutzutage einem Nachrichten ins interne Postfach des Bankaccounts senden und nicht per E-Mail, SMS oder auf sonst einen anderen Weg (höchstens per Briefpost).
Und selbst wenn so eine Email echt wäre, sollte man nicht reagieren.
Wie sollte eine Bank ein Konto einschränken?
Das man keine Überweisungen mehr machen kann o.Ä.?
Selbst wenn das passieren würde, würde ein Anruf bei der Bank das Problem schnell lösen.
Und bei jedem Link in ausnahmslos allen Fällen sollte man nie, nie, nie! auf den Link klicken.
Im Zweifel kopiert man den Link und fügt ihn in die Adressleiste des Browsers ein.
Dann sieht man, wohin der Link führt und kann dann immer noch entscheiden, ob man den Link aufruft.
Und das Mailprogramm sollte man so konfigurieren, das es nicht nur den Absendernamen anzeigt, sondern zusätzlich auch die Absenderadresse.
An der Adresse sieht man dann meist schnell, das die Mail nicht von der Bank stammt.
Ich kenne diese Pishingmails auch.
Immer sind dort Banken genannt, bei denen ich gar kein Kunde bin.
Auch das ist ein sehr sehr eindeutiger Hinweis.
Warum sollte ich auf eine Mail von Bank X regieren, bei der ich gar nicht Kunde bin?
Was Banken „nie" tun, kann man nicht wissen – denn dort weiß auch die eine Hand nicht, was die andere tut. Jede Abteilung hat ihren bevorzugten Kommunikationsstil.
Ich erhielt auch schon eine Mail von einem ganz kryptischen Absender, die sich auf mein Girokonto bezog und bei näherem Hinsehen tatsächlich von der Sparkasse kam. Als ich zurückschrieb, wie verwirrend so ein Absender sei, kam Tage später ein Anruf von der für mein Konto zuständigen Sachbearbeiterin: Sie habe sich erkundigt, die Mail sei schon echt und frage ja sowieso nicht nach sicherheitsrelevanten Daten. Das Problem mit dem rätselhaften Absender kapierte sie nicht.
Das mit dem internen Postfach ist auch so eine Sache. Hat meine Sparkasse vorigen Herbst in erweiterter Form eingeführt. Mein Versuch, es zum Antworten zu verwenden, scheiterte: Nur eine bestimmte Zeichenzahl erlaubt und auch dann wurden andauernd „nicht erlaubte" Zeichen moniert. Das waren scheinbar nicht nur Umlaute, sondern sogar / oder %, vielleicht hätte ich auch alles in Kleinbuchstaben tippen müssen. Technisch nur noch peinlich. Ich musste also doch wieder auf die bewährte Mail umsteigen (und natürlich sah die Absenderadresse meines Gegenübers wieder anders aus als erwartet).
Wahrscheinlich erkennt man eine Phising-Mail bald daran, dass sie genau so aussieht, wie man sich eine Mail von seiner Bank vorstellt. Die Banken selbst hingegen kapieren nicht, wie wichtig eine klare, unverkennbare Linie in ihrer Kommunikation wäre. Da regieren leider die PR-Designer…
"Und das Mailprogramm sollte man so konfigurieren, das es nicht nur den Absendernamen anzeigt, sondern zusätzlich auch die Absenderadresse."
Super Tipp!
Finde ich auch, aber Microsoft nicht.
Schön mal bei Outlook probiert?
Da kann man allen möglichen Spalten im Eingangsordner stellen.
Aber keinen Returnpayh
Microsoft will nicht, dass User mit der Return Adresse belastet wird. Ja, es geht. Z.B. mittels mehrere Formulare. Es ist ein erheblicher Aufwand diesen Wert im Eingangsordner als Spalte anzulegen.
Das macht kein einfacher User, für den Outlook einfach nur ein Werkzeug für E-Mails ist. Und welcher Admin macht das?
Riskiert er doch ständige Rückfragen der User.
Manchmal hilft anfangen die E-Mail zu beantworten. Dann rückt Microsoft mit der Adresse raus…
Was für einen Wahnsinn lassen sich die MS Kunden gefallen?
Achso. Ich vergaß. Gegen ein paar tausend Euro kann man für den Outlook Server ein Tool kaufen, das in die E-Mail schreibt, das das eine externe Email ist und dabei nebenbei die Signatur kaputt macht, so das niemand je eine Email mit intakter Prüfung bekommt…und jeder weiß ja, je mehr Lagen Software man übereinander klatscht, umso fehlerfreier, wartbarer und weniger angreifbar wird ein System…
Schon geil, dieses Microsoft!
Das nutzen Scamer natürlich aus.
Und setzen als Display Name irgendwas sinnvolles.
Guter Tipp mit der Absender Adresse,aber leider praxisfremd.
Bei mir im Outlook wird das in dieser Form angezeigt:
Absendername <absenderadresse>
Beispielsweise Spam-Mail von heute:
cjyolzq <cjyolzq@metro.ua>; im Auftrag von; suraycca <suraycca@yeah.net>
Oder echte Mail von DHL:
DHL Paket <noreply@dhl.de>
Ansonsten:
Mail öffnen, dann Start -> Eigenschaften.
Da sieht man die kompletten Kopfzeilen der Mail.
Ich weis nicht welches Outlook sie haben? Bei mir wird in Outlook immer! der Absender mit "Absendernamen" (wenn vorhanden) und vollständiger Mailadresse angezeigt (wenn nicht vollständig mit dem Mauszeiger drauf gehen, dann geht ein Fenster mit der vollständigen Mailadresse auf).
Ob die gefälscht ist sieht man da natürlich nicht.
"Die Banken selbst hingegen kapieren nicht, wie wichtig eine klare, unverkennbare Linie in ihrer Kommunikation wäre. Da regieren leider die PR-Designer…"
Also die Postbank hat das voll drauf!
Haben ja das große Vorbild Deutsche Bank (Die im Ausland gerne mit der Bundesbank verwechselt wird …)
Beispiel:
Zwei Stunden Wartezeit in der Warteschleife mit Konstant "Sie kommen in 10 Minuten dran"bund dann auf einen leeren Anschluss weitergeleitet, der nach einer Minute die Verbindung beende!
Schlechten Service bekommen Sie überall. Aber wir können das am Besten und teuersten.
Antwort auf E-Mail sinngemäß
Ihre E-Mail ist hier eingegangen, leider haben wir viel zu wenig Leute um Ihre E-Mail beantworten zu können.
Wir vertrösten Sie trotzdem auf Sankt nimmerlein.
Oder:
TB1 Sie fragten nach %a
TB2 Ja, es ist %a
TB3 Wie hoffen Ihnen geholfen zu haben, aber wirklich interessiert uns das nicht. Hauptsache schnell fertig.
So in etwa?
Ich erinnere mich auch an Amazon. Die erste Antwort war immer so ein auf Triggerwörtern automatisch ausgewählter Text Baustein. Erst bei einer nochmaligen Anfrage gab es nützliche Antwort.