Phishing-Angriffe auf Kunden der Postbank

Derzeit sind wieder verstärkt Phishing-Mails unterwegs, die auf Kunden der Postbank zielen. Die Phisher versuchen es noch immer mit der gleichen Masche, haben aber immerhin ihr Deutsch verbessert. In den Mails werden Sicherheitsgründe angegeben, wegen derer der Zugang zum Konto gesperrt worden sei.

Mit so genannten Phishing-Mails versuchen Online-Kriminelle seit Jahren an die Zugangsdaten für online geführte Bankkonten zu gelangen. Offenbar haben sie damit nach wie vor Erfolg, sonst hätten sie sich inzwischen etwas anderes überlegt. Um die Glaubwürdigkeit der vorgeblichen Bank-Mails zu steigern, haben die Täter über die Jahre ihr Deutsch verbessert. Anfangs waren es noch kaum verständliche Maschinenübersetzungen, später machten holprige Formulierungen, jede Menge Fehler sowie fehlende Umlaute die Enttarnung leicht.

In aktuellen Spam- und Phishing-Mails, über die auch das Berliner Sicherheitsunternehmen eleven in seinem Blog berichtet, sind im Vergleich zu früher kaum noch grobe Fehler vorhanden. Die zurzeit verbreiteten Phishing-Mails richten sich an Kunden der Postbank, auch wenn die Versender nicht wissen, ob die Empfänger dort überhaupt ein Konto haben. Der Betreff lautet "Ihr Onlinebanking-Zugang wurde aus Sicherheitsgründen gesperrt" oder sinngemäß ähnlich, als Absender ist "Postbank" angegeben.

In den Mails heißt es "wir bei der Postbank nehmen Ihre Sicherheit sehr ernst". Nach fehlgeschlagenen Login-Versuchen und ungewöhnlichen Kontoaktivitäten sei der Zugang zum Konto gesperrt worden. Um die Sperre aufzuheben sollen sich die Angeschriebenen auf einer Website anmelden. Der sichtbare Link-Text und das tatsächliche Link-Ziel sind unterschiedlich.

Der Link führt über mehrere Umleitungen auf gehackten Websites zu einer Nachahmung der Postbank-Anmeldeseite. Die Server-Adresse beginnt zwar mit "www.postbank.de", doch statt eines "/" folgen mehrere weitere, durch Punkte getrennte Subdomain-Namen. Je länger die Web-Adresse ist, desto wahrscheinlicher ist es, dass sie nach rechts aus dem sichtbaren Bereich der Adresszeile heraus läuft. Daher ist die Haupt-Domain oft nicht im Sichtbereich.

Die eigentliche Domain lautet "postdrekt.com" oder "postdrekt.net" - beides Domains, die erst am 22. März registriert wurden. Auffallen sollte jedoch, dass die Adresse nicht mit "https" beginnt, wie dies bei Banken Standard ist, sondern mit "http". Spätestens an dieser Stelle sollte man stutzig werden und die Aktion abbrechen.