Adhoc-Warnung vor neuer Phishing-Attacke

2005/12/05 Adhoc-Warnung vor neuer Phishing-Attacke
Nach Bawag/PSK und Erste/Sparkassen nun Raika/RZB im Visier - Phishing-Attacke mit dem Ziel Kontendaten auszuspähen - Neu sind Termin und Art der Attacke - Keine Gefahr für Bankkunden, die Grundregeln beachten

Nach Bawag/PSK und Erste/Sparkassen nun Raika/RZB im Visier

Dieses Wochenende überschwemmen Mails von "ELBA-internet OnlinePolice@raiffeisen.at" bzw. "Raiffeisen.At SecurityUpdate@raiffeisen.at" unter den Titeln "Raiffeisen Bank Security System" und "RZB Security Issue" österreichische Internetbenutzer.

In beiden Fällen handelt es sich um gefälschte Mails, die die Empfänger auffordern über ein mitgeschicktes Formular Kontoinformationen bekannt zu geben, ansonsten würden die Konten bis auf weiteres gesperrt.

Ziel sind offenkundig die etwa eine Million Telebankingkunden (ELBA-System) der Raiffeisenkassen.

Phishing-Attacke mit dem Ziel Kontendaten auszuspähen

Es handelt sich um eine der vielen Phishing-Attacken, die derzeit das Internet überschwemmen. Nach BAWAG/PSK und Erste/Sparkassen sind nunmehr die Kunden des Raiffeisenkonzerns im Visier.

Neu ist jedoch die Vorgangsweise. Wurden bei den BAWAG/PSK- und Erste/Sparkassen-Attacken Webseiten angegeben, die durch Rechtschreibfehler Kunden zur Dateneingabe verleiten sollten (nelbanking statt netbanking und bawog statt bawag), wird diesmal ein Formular mitgeliefert, das auszufüllen und zu retournieren ist.

Ebenso wurde der Zeitpunkt der Attacke verlegt. Die letzten Attacken erfolgten am Beginn des Wochenendes und gaben daher den Banken genügend Zeit zu Abwehrmaßnahmen (Überweisungen sind in Österreich immer erst ab Montag früh möglich). Diesmal erfolgte die Attacke Sonntag abend, wohl wissend, dass zu diesem Zeitpunkt viele Personen private Internetangelegenheiten, wie Mails lesen, Bestellungen durchführen oder Kontoüberweisungen vorbereiten, durchführen und angesichts des nahen Telebankingbeginns den Banken weniger Zeit für Reaktionen bleiben.

Keine Gefahr wenn Grundregeln beachtet werden

Im Gegensatz zu Würmern und Viren, die die technischen Komponenten angreifen, versuchen Phishingmails Ängste und Vorurteile der Mailempfänger anzusprechen. Diese Angriffe werden als "Social Hacking" zusammen gefasst und zielen auf das Verhalten der Internet-Nutzer ab.

Konsumenten sollten folgende einfache Regeln beachten:
- Keine Bekanntgabe von vertraulichen Daten (Login-Daten, Passwörtern) per Mail oder telefonisch.
- Kein Ausblenden der URL-Anzeige beim Browser (der Name der Login-URL eines Telebanking-Kontos sollte gut aufbewahrt werden und bei jedem Login geprüft werden).
- Überraschende Änderungen der vertrauten Login-Seiten sofort an den Betreiber melden.
- Vertrauliche und persönliche Daten ausschließlich über SSL-verschlüsselte Seiten bekannt geben (erkennbar als https-Seite). Die Identität dieser verschlüsselten Seiten sollte regelmäßig geprüft werden.
- Sicherheitsupdates des verwendeten Browsers laufend durchführen.

Darüber hinaus sollten Website-Betreiber, insbesondere Online-Banking-Portale, einige Punkte beachten, die es Konsumenten erleichtert "echte" Banking-Seiten von gefälschten zu unterscheiden:
- Banken sollten NIEMALS per e-mail von sich aus mit Kunden in Kontakt treten. Damit wird der Kunde erst gar nicht daran gewöhnt, auf Bankenmails zu reagieren.
- Das Zertifikat des Telebanking-Webservers sollte immer auf den Bankennamen ausgestellt sein.
- Banken sollten ihren Telebanking-Link niemals ändern und immer wieder, etwa in Prospekten usw. publizieren. Gleiches gilt für das Design des Telebanking-Zugangs. Kontinuität und Gewohnheit sind auch in Internetzeiten die wichtigsten Sicherheitsmerkmale, an die sich Laien halten können (klingt simpel und unspektakulär, ist aber so).
- Frames, Plugins und allzu komplexe Seiten sollten jedenfalls vermieden werden, da derartige Dinge das Nachahmen und Fälschen begünstigen bzw. die Zahl der potentiellen Sicherheitslücken drastisch erhöht wird.

Phishing-Attacken bisher mit geringem Schadenspotential

Die bisherigen Phishing-Attacken verursachten in Österreich bisher einen eher geringen Schaden. Dies ist einerseits der hohen Wachsamkeit verschiedenster Institutionen und einer raschen Berichterstattung zu Phishinggefahren zu verdanken. Auch die Ziele der Phishing-Attacken, österreichische Banken, reagierten rasch und konnten damit Missbrauch verhindern.

Offensichtlich dienen die bisherigen Attacken eher dazu, bei Internetnutzern Verunsicherung zu schaffen und Nutzer an derartige Attacken zu gewöhnen, ihre Aufmerksamkeit quasi einzuschläfern.

Hans G. Zeger: "Bei einer künftigen Phishing-Attacke, die sich nicht mehr gegen die vergleichsweise gut organisiserten Banken richtet, sondern gegen die Benutzerkonten bestimmter Online-Shops oder anderer Online-Dienste, wie Musik-Download-Portale, Chatforen oder eGovernment-Seiten, ist mit höheren Schadenspotentialen, entweder auf Seiten der Konsumenten/Bürger oder der Händler/Anbieter, zu rechnen."

Die angezeigten Informationen und Artikel werden im Rahmen des ARGE DATEN Informationsdienstes kostenlos zur Verfügung gestellt. Alle Angaben sind sorgfältig recherchiert, es wird jedoch für die Richtigkeit keine Gewähr übernommen. Alle Angaben, Aussagen und Daten beziehen sich auf das Datum der Veröffentlichung des Artikels. Es wird ausdrücklich darauf hingewiesen, dass insbesondere Links, auf Websites gemachte Beobachtungen und zu einem Sachverhalt gemachte Aussagen zum Zeitpunkt der Anzeige eines Artikels nicht mehr stimmen müssen. Der Artikel wird ausschließlich aus historischem und/oder archivarischen Interesse angezeigt. Die Nutzung der Informationen ist nur zum persönlichen Gebrauch bestimmt. Dieser Informationsdienst kann professionelle fachliche Beratung nicht ersetzen. Diese wird von der ARGE DATEN im Rahmen ihres Beratungsservice angeboten. Verwendete Logos dienen ausschließlich zur Kennzeichnung der entsprechenden Einrichtung. Die verwendeten Bilder der Website stammen, soweit nicht anders vermerkt von der ARGE DATEN selbst, den in den Artikeln erwähnten Unternehmen, Pixabay, Shutterstock, Pixelio, Aboutpixel oder Flickr.

webmaster