eBay-Funktion hilft beim Phishen
Der neueste Trick, um Anwender glauben zu lassen, auf eine echte Seite geführt zu werden, nutzt diesmal keine Schwachstelle in Browsern oder E-Mail-Programmen aus, sondern eine Funktion direkt auf den eBay-Servern.
Der Ideenreichtum der Datenphisher gibt IT-Sicherheitsexperten immer wieder Anlass zur Sorge. Der neueste Trick, um Anwender glauben zu lassen, auf eine echte Seite geführt zu werden, nutzt diesmal keine Schwachstelle in Browsern oder E-Mail-Programmen aus, sondern eine Funktion direkt auf den eBay-Servern.
Bei der Phishing-Masche (Password fishing) werden eBay-Kunden per E-Mail auf gefälschte, angebliche eBay-Webseiten gelotst. Dort werden sie aufgefordert eBay-User-ID, Passwort und unter Umständen auch noch Adresse und Kreditkartendaten samt PIN anzugeben.
Im vorliegenden Fall nutzt der Angreifer ein Umleitungsprogramm (Redirect-Handler) auf der eBay-Site aus, um die E-Mail und den darin enthaltenen Link authentischer wirken zu lassen. Die E-Mails, die vorgeben von eBay zu stammen, kursieren seit dem 12. Februar im Netz. eBay wurde darüber zwar informiert, hat aber bisher nicht auf diesen Phishing-Trick reagiert. Die Funktionsweise des Tricks illustriert dieses Beispiel:
Eigentlich wurde vorigen Monat ein Meldesystem für Phishing-Versuche gegründet, in dem sich eBay mit Microsoft, PayPal und Visa zusammengeschlossen hat. Hier sollen Hinweise zentral erfasst werden, um Maßnahmen gegen Betrüger einzuleiten. Bei den Unternehmen -- und nicht bei den Anwendern -- sieht das Internet Storm Center auch die Hauptverantwortung im Kampf gegen Phishing.
Dennoch können sich Nutzer vor Phishing-Attacken generell schützen: Wichtige Internetadressen immer direkt eintippen und die Loginseiten nicht über Links in E-Mails aufsuchen.
Siehe dazu auch: (eck)
- 6-Punkte-Plan gegen Phishing
- eBay-Kundenservice stuft Phishing-Mail als echt ein
- Datenspionage mit "Phishing-Mails" vom BSI
