Ein Blog-Leser hat mich vor einiger Zeit über einen Angriffsversuch per Mail informiert. In seinem Fall entbehrte die Mail jeglicher Grundlage, weshalb der Vorgang sofort die Alarmglocken läuten ließ. Aber im Anwaltsbereich suggeriert die einen gängigen Sachverhalt und könnte auf fruchtbaren Boden fallen. Ich stelle den Sachverhalt daher hier im Blog ein.
Die Mail von Blog-Leser Klaus B. hatte den Betreff "Interessanter Angriffsversuch – Fwd: Sсаո-Rеferеոz РոSWgaNМ zur Rücklaѕtѕchrіft" und begann mit dem Text:
Hallo Herr Born,
diese Mail habe ich bekommen. Den Link habe ich natürlich nicht angeklickt, Ihrer immerwährenden Aufklärung diesbezüglich sei Dank.
Das Schreiben entbehrt jeder Grundlage, schon daher leicht entlarvt.
Süß ist, das einem mitgeteilt wird, dass das MuFu auf dem "Kanzleiflur" der Kanzlei steht. Herrlich.
Viele Grüße
xxxx
Im Anhang fand sich dann eine Kopie dieser Mail, die nachfolgender Abbildung entnommen werden kann.
Der Text klingt im ersten Augenblick überzeugend, auch wenn es unüblich ist, dass im Geschäftsverkehr mitgeteilt wird, wo das MuFu (Multifunktionsgerät) zu Scannen steht. Eine weitere "Merkwürdigkeit" ist der Umstand, dass das Scan-Dokument so überhaupt keine Angaben über den Absender enthält. Keine Firmenadresse, kein Name, Martine von der Buchhaltung und vom Debitorenmanagement scheint eine arg wortfaule Zeitgenossin zu sein, kein Wort zu viel.
Aber es gibt weitere Merkwürdigkeiten. Absender der Mail, die Ende Juli 2026 verschickt wurde, soll eigentlich eine "Kanzlеi Schոeider" sein, wobei für die Domain boeniger-derron[.]ch, von der die Mail laut Header verschickt wurde, gerade "eine Webpräsenz" bei einem Webhoster eingerichtet werden soll. Eine Kanzlei sollte schon einen Web-Auftritt haben. Das Ding "stinkt" also auch hier.
Ich konnte die Mail nicht analysieren, da einiges encodiert war. Ein Anhang, welcher angeblich einen SEPA-Scan enthält, zeigt im Quelltext einen ziemlich zusammenhanglosen und unsinnigen Text. Eine kurze Überprüfung auf virustotal.com ergab keine gefährlichen Inhalte. Ich gehe davon aus, dass der angebliche Scan die Opfer auf eine Fake-Webseite umleiten sollte, wo dann der Angriff stattfindet. Ein weiteres Beispiel, das zeigt, dass die Mitarbeiter in Firmen nicht blindlings auf Mails dieser Art eingehen, speziell, wenn es keinen Geschäftsvorgang gibt, und im Zweifelsfall die IT-Abteilung hinzuziehen sollten.
MVP: 2013 – 2016
Da sind noch mehr Unstimmigkeiten.
Eine Rechtsanwaltskanzelei schreibt einen nie mit "Guten Tag" an.
Da steht immer eine Anrede, entweder allgemein oder persönlich.
Und es fehlt in dem Scan schlicht Adressat und Absender.
Auch das ist immer in solchen Anschreiben vorhanden.
Weitere Unstimmigkeiten:
Bei Rechnungsmonat wird ein konkretes Datum genannt anstatt nur den Monat.
Zudem ist das Datum, bis zu dem der Betrag bezahlt werden soll, identisch mit dem Datum unter Rechnungsmonat, was so nicht stimmen kann.
Gesetzliches Zahlungsziel ist 30 Tage, ergo müssen die Daten unterschiedlich sein.
Und i.d.R. wird erst zum eigentlichen Zahlungsziel bezahlt und nicht früher. Bzw. früher nur dann, wenn der Rechnungssteller Skonto gewährt.
Ist recht einfach zu handeln, Zahlungsaufforderungen für die es keinen internen Vorgang oder Abruf gibt werden nicht bezahlt… wiederkehrende Zahlungen welche nicht zum Tagesgeschäft gehören wie zum Beispiel für Zertifikate usw. wird eine VI erstellt die rechtzeitig mit xx Tage Vorlauf aufpoppt.
Abmahnungen & Co. gehen direkt an die Rechtsabteilung die das prüft.
Alles handelbar selbst bei 1000ten Buchungen pro Tag!
Da ist das vollkommen unabhängig wie "perfekt" sowas gemacht ist…