Angriffsversuch über "Fake-Rücklastschrift"-Mail

Ein Blog-Leser hat mich vor einiger Zeit über einen Angriffsversuch per Mail informiert. In seinem Fall entbehrte die Mail jeglicher Grundlage, weshalb der Vorgang sofort die Alarmglocken läuten ließ. Aber im Anwaltsbereich suggeriert die einen gängigen Sachverhalt und könnte auf fruchtbaren Boden fallen. Ich stelle den Sachverhalt daher hier im Blog ein.

Die Mail von Blog-Leser Klaus B. hatte den Betreff "Interessanter Angriffsversuch – Fwd: Sсаո-Rеferеոz РոSWgaNМ zur Rücklaѕtѕchrіft" und begann mit dem Text:

Hallo Herr Born,

diese Mail habe ich bekommen. Den Link habe ich natürlich nicht angeklickt, Ihrer immerwährenden Aufklärung diesbezüglich sei Dank.

Das Schreiben entbehrt jeder Grundlage, schon daher leicht entlarvt.

Süß ist, das einem mitgeteilt wird, dass das MuFu auf dem "Kanzleiflur" der Kanzlei steht. Herrlich.

Viele Grüße

xxxx

Im Anhang fand sich dann eine Kopie dieser Mail, die nachfolgender Abbildung entnommen werden kann.

Der Text klingt im ersten Augenblick überzeugend, auch wenn es unüblich ist, dass im Geschäftsverkehr mitgeteilt wird, wo das MuFu (Multifunktionsgerät) zu Scannen steht. Eine weitere "Merkwürdigkeit" ist der Umstand, dass das Scan-Dokument so überhaupt keine Angaben über den Absender enthält. Keine Firmenadresse, kein Name, Martine von der Buchhaltung und vom Debitorenmanagement scheint eine arg wortfaule Zeitgenossin zu sein, kein Wort zu viel.

Aber es gibt weitere Merkwürdigkeiten. Absender der Mail, die Ende Juli 2026 verschickt wurde, soll eigentlich eine "Kanzlеi Schոeider" sein, wobei für die Domain boeniger-derron[.]ch, von der die Mail laut Header verschickt wurde, gerade "eine Webpräsenz" bei einem Webhoster eingerichtet werden soll. Eine Kanzlei sollte schon einen Web-Auftritt haben. Das Ding "stinkt" also auch hier.

Ich konnte die Mail nicht analysieren, da einiges encodiert war. Ein Anhang, welcher angeblich einen SEPA-Scan enthält, zeigt im Quelltext einen ziemlich zusammenhanglosen und unsinnigen Text. Eine kurze Überprüfung auf virustotal.com ergab keine gefährlichen Inhalte. Ich gehe davon aus, dass der angebliche Scan die Opfer auf eine Fake-Webseite umleiten sollte, wo dann der Angriff stattfindet. Ein weiteres Beispiel, das zeigt, dass die Mitarbeiter in Firmen nicht blindlings auf Mails dieser Art eingehen, speziell, wenn es keinen Geschäftsvorgang gibt, und im Zweifelsfall die IT-Abteilung hinzuziehen sollten.