Trojanermail: Offene Rechnung / Rechnung offen vom 07.03.2016 Nummer 12345678

“Woher kennen diese Betrüger meinen Namen und meine Adresse?” Diese Frage stellen sich viele der Empfänger aus der aktuellen Welle von Trojanermails, da in diesen Mails der echte Name, zumeist die Realadresse des Empfängers und unter Umständen auch die echte Rufnummer aufgeführt ist.

Wie diese Mails aussehen, haben wir gestern ausführlich in dem Artikel “Personalisierte Trojaner! Offene Rechnung: Buchungsnummer: gefälschte Anwaltsschreiben / Inkassoschreiben tragen Echtnamen des Empfängers” beschrieben. Heute wollen wir auf das Hauptaugenmerk dieser neuen Trojanerwelle eingehen, denn diese Mails glänzen jetzt nicht unbedingt durch irgendwelche neuen Techniken oder aufwändige Grafiken, sondern es ist der Inhalt selbst, der viele Empfänger erschüttert:

Da steht ja mein Name und meine Adresse drin!

Natürlich ist fast allen Empfängern solcher Mails bewusst, dass es sich um einen Betrugsversuch handelt, darauf muss man nicht erneut eingehen. Der große Moment des Staunens liegt eh dort, wo man den eigenen Namen und die eigenen Adresse in der Mail sieht!

Die Frage nach der Herkunft der Daten wirft sich unweigerlich auf, doch an dieser Stelle muss man resignierend sagen: es ist nicht wirklich schwierig, Adressdatensätze zu kaufen. Ehrlich. Das geht sogar völlig legal. Allein die Googlesuche spuckt genügend Ergebnisse aus.

Adresshandel

Der Handel mit Adressen ist nicht neu. Ebenso die Variante, wie diese Adresshändler in den Besitz von Adressen gelangen. Das Stichwort ist hier: Leadgenerierung! Na, jetzt sollte es in den Köpfen klingeln: Onlinegewinnspiele zu Gutscheine von H&M, Mediamarkt, Saturn etc ….

Hinter diesen Gewinnspielveranstaltungen stecken fast immer Leadgenerierer. Ein “Lead” ist im Sinne des Marketing ein Kundendatensatz. Eine Agentur, welche Leads generiert, bemüht sich also darum, so viele Datensätze wie möglich aufzubauen. Dabei sind die wertvollen Datensätze jene, die recht vollständig und umfangreich sind. Name, Adresse, Telefonnummer, Mobilnummer und E-Mail Adresse sind da schon recht interessant. Wenn nun Alter, Schulbildung und Interessen dazu kommen, wird der “Lead” noch wertvoller. Und wenn man anschließend in einem Fragebogen sogar noch sein Konsumverhalten preisgibt, lacht die Agentur für Leadgenerierung und freut sich über einen sehr wertvollen Datensatz.

Diese werden natürlich letztendlich auch verkauft! In erster Linie zu Marketingzwecken. Dazu hat man ja auch bei den Gewinnspielen immer schön artig zugestimmt. Doch ist ein solcher Datensatz erst einmal auf dem freien Markt, kann er natürlich illegal durch Dritte weitergegeben werden. Kopierbar ist im Grunde genommen alles. Und schon landen Adressdatensätze aus dem Marketingbereich auf dem Schwarzmarkt. (an dieser Stelle halten wir uns mit der Aussage zurück, dass Datensätze aus der Leadgenerierung auch direkt an Betrüger weiterverkauft werden könnten).

Daher gilt allgemeinhin unsere Warnung: Vorsicht bei Onlinegewinnspielen (wir warnen ja nicht erst seit gestern).

Weitere Quellen

Neben dem Adresshandel gibt es natürlich noch weitere Möglichkeiten, wie Betrüger an Adressen für Spammails gelangen können. Datenlecks sind zum Beispiel eine nicht überschaubare Quelle. Die Webseite spam.tamagothi.de beschrieb bereits 2013, wo die Lücken liegen und dass es häufig Mitarbeiter der Firmen seien, die sich mit illegalem Datenhandel das eigene Gehalt ein wenig aufbessern:

Betroffen waren unter anderem die belgische Staatsbahn, Coca-Cola, verschiedene so genannte „Singlebörsen“ (hier nur meetOne als ein Beispiel) und mutmaßlich DHL. Desweiteren können im Regelfall schlecht bezahlte Mitarbeiter gewisser Callcenter frei auf Daten zugreifen, und es würde mich sehr überraschen, wenn da nicht der eine oder andere nach Möglichkeiten suchen würde, sein mieses Gehalt aufzubessern. Dass selbst bei großen Anbietern von Pornografie sehr wenig Wert auf Datensicherheit gelegt wird, sei hier nur eine kleine Ergänzung.

Social Media Anwendungen

Noch ein Punkt, vor dem wir immer gewarnt haben: diese ganzen kleinen Test- und Spass-Apps auf Facebook, welche Zugriffe auf das eigene Konto benötigen, können natürlich auch Daten auslesen. Weißt Du, was am Ende mit diesen Daten geschieht? Liest Du bei jeder Facebookanwendung genau, auf welche Daten diese Zugriff verlangt? Schaust Du auch immer genau, wie seriös die einzelnen Anbieter der Anwendungen sind? Schwarze Schafe ziehen mit ihren Facebook-Anwendungen bewusst den Nutzern die Daten aus der Tasche.

Daneben sei auch erwähnt, dass die sozialen Netzwerke (Facebook oder aber auch der WhatsApp Messenger) auch nicht zimperlich im Verkauf von Daten sind.

Vorsicht walten lassen

Daher gilt: man sollte immer vorsichtig im Umgang mit den eigenen Daten sein! Gerade im Bezug auf Onlinegewinnspiele sollte man sich immer Fragen, wie hoch die eigene Gewinnchance ist und ob man nicht grundsätzlich eher verliert, wenn man Adresshändlern seinen Daten preisgibt.

Weiterführend

Zum Abschluss noch eine Leseempfehlung: Spam mit namentlicher Anrede: Woher kommen die Daten?(spam.tamagothi.de)