Internetkriminelle werden immer professioneller: Mit täuschend ähnlich nachgebauten Internetseiten von kleinen und mittleren Unternehmen täuschen sie deren Kunden und gelangen so an sensible Daten wie Passwörter.
Sie sehen aus wie echt, sind aber bloss nachgebaute KMU-Internetseiten und haben es auf sensible Kundendaten abgesehen: Die Melde- und Analysestelle Informationssicherung MELANI des Bundes interveniert täglich, um betrügerische Webseiten-Kopien vom Netz zu nehmen, wie sie am Dienstag mitteilte. Fälle die der Meldestelle kürzlich zugetragen wurden, zeugten von einer zunehmenden Professionalität der Angriffe.
Die Betrüger missbrauchten nicht mehr ausschliesslich nur die Namen von grossen und bekannten Unternehmen, «sondern verüben auch sehr gezielte Phishingangriffe mit dem Namen kleinerer Firmen». Betroffen seien KMU mit einer Website, die in irgendeiner Weise Kunden-E-Mail-Adressen verwenden. So etwa, wenn sie einen Newsletter versenden.
Gemäss MELANI versuchen die Betrüger zunächst über die Firmenwebsite an die E-Mail-Datenbank zu gelangen. Dafür wird eine Schwachstelle auf der Webseite ausgenutzt. Die Kunden erhalten dann im Namen des KMU gefälschte Mail-Nachrichten. Dabei werden «Absender und Inhalt perfekt imitiert».
Die Masche mit der Kostenrückerstattung
In den aktuellen Fällen versprechen die E-Mails eine Kostenrückerstattung. Um diese geltend zu machen, werden die E-Mail-Empfänger angewiesen, einen Link anzuklicken. Dahinter versteckt sich jedoch eine gefälschte Webseite, die von derjenigen des KMU nicht zu unterscheiden ist. Einzig die Internetadresse ist nicht genau identisch.
Die Opfer werden dann aufgefordert, ihre Kreditkartendaten anzugeben. «Da die gestohlenen E-Mail-Adressen im Zusammenhang mit der Firma stehen, erhöhen die Betrüger die Chancen, dass ein Opfer auf den Betrug hereinfällt», warnt die Meldestelle des Bundes.
Den betroffenen Unternehmen empfiehlt MELANI unter anderem, die Kunden zu warnen, wenn eine Attacke bemerkt wird. Der Bevölkerung empfiehlt die Meldestelle, Mails dieser Art zu löschen. «Keine seriöse Firma wird sie per E-Mail auffordern, Kreditkartendaten anzugeben.»
Zudem soll sie vorsichtig sein, wenn in E-Mails mit Konsequenzen gedroht wird, etwa Geldverlust, Strafanzeige, Konto- oder Kartensperrung oder gar ein Unglück prophezeit wird. Nützlich ist es auch, die Internetadresse, die so genannte (URL), ganz genau zu prüfen, indem man ohne zu klicken mit der Maus über den Link fährt.