Die Bestellbestätigung kommt wirklich von Staples. Die Hotline-Nummer nicht.

Eine Mail trifft von orders.staples.com ein. Bestellnummer 9939818875, ein Apple iPad, und eine Zeile mit «Helpline 806 283 7712». Sie haben kein iPad gekauft. Der Absender ist echt, die Domain ist echt, die Nachricht besteht DKIM und DMARC, weil Staples sie wirklich verschickt hat. Das einzig Falsche darin ist die Telefonnummer, und mehr musste der Betrüger auch nicht beisteuern.

Cisco Talos hat die Untersuchung am 21. Oktober veröffentlicht. Der Trick besteht darin, eine echte Transaktion anzustoßen und den Köder in ein Feld zu tippen, das der Händler dem Kunden unverändert zurückspiegelt, meist etwas aus den Versand- oder Rechnungsangaben. Die Dell-Variante nennt die Kauf-ID 2009829958247 für Microsoft Project Standard 2024 über 736,09 Dollar und gibt «Helpline 808 232 6397» an. Talos zählte rund 1.400 Nachrichten in den beiden Kampagnen und dieselbe Idee in zwei weiteren Formen: Ihre Adresse in Anmeldeformulare einzutragen, damit die Willkommensmail einen in das Namens- oder Firmenfeld getippten Text mitbringt, und Unzustellbarkeitsmeldungen zu missbrauchen, damit der Köder in einem Mailfehler ankommt. Mehr als 25 legitime Plattformen wurden im vergangenen Jahr so benutzt. Wie Talos es formuliert, wird vertrauenswürdige Infrastruktur als Abkürzung zu vertrauenswürdigem Inhalt behandelt.

Der alte Rat, die Absenderadresse zu prüfen, hat damit stillschweigend aufgehört zu genügen, und der Ersatz ist enger: Rufen Sie nie eine Nummer an, die zusammen mit einem Problem angekommen ist. Wenn eine Bestellbestätigung Sie beunruhigt, gehen Sie selbst auf die Seite des Händlers oder auf den Kontoauszug und suchen Sie die Buchung, oder stellen Sie fest, dass es sie nicht gibt. Ein Anruf, der mit einer untergeschobenen Nummer beginnt, endet oft mit der Bitte, eine Fernwartungssoftware zu installieren, damit der nette Mensch helfen kann, und genau dort beginnt der eigentliche Schaden.

Falls es eines Tages so weit kommt, listet die Sicherheitsprüfung von Tendvane die Fernzugriffswerkzeuge und unerwünschten Programme auf, die auf Ihrem PC aufgetaucht sind, meist die erste sichtbare Spur.