ING-DiBa Spam-Mails TAN Aktualisierung

Die aktuellen Spam E-Mails von ING-DiBa sind kaum noch als solche zu identifizieren.

Spam ist die Plage des 21. Jahrhunderts. Immer wieder rufen uns unsere Kunden an, weil Sie E-Mails erhalten haben, bei denen Sie unsicher sind, ob es sich um richtige Nachrichten handelt oder ob Ihnen hier Betrüger und Gauner an die Ersparnisse wollen.

Die E-Mail der ING-DiBa mit dem Betreff Informationen zu Ihrem DiBa-Konto, die heute morgen sicher in vielen E-Mailkonten aufgetaucht ist, ist so ein Fall.

Das Problem bei der Sache ist, dass es mittlerweile immer schwieriger wird zu erkennen, ob es sich um Werbung, Betrug oder Datenklau handelt. Die Kriminellen sind in Ihrem Bemühen (leider) immer erfolgreicher, E-Mails echt und authentisch aussehen zu lassen. Wenn Sie also solch eine E-Mail erhalten, dann können Sie diese getrost ignorieren und löschen. Wenn Sie jedoch wissen wollen, was die Kriminellen mit dieser E-Mail erreichen wollen und wie Sie sich besser dagegen schützen können, dann lesen Sie diesen Artikel.

Woran entlarvt man diese ING-DiBa E-Mail als Spam?

Die Antwort auf diese Frage ist gar nicht mal so einfach. Früher reichte es, darauf zu achten, ob der eigene Name ausgeschrieben wird und ob die Nachricht mit richtiger deutscher Rechtschreibung aufwarten kann. Mittlerweile ist dies anscheinend für die Betrüger keine Herausforderung mehr. Lesen Sie hier z.B. den vollen Mail-Text der ING-DiBa Spam-Mail:

TAN Aktualisierung
Jetzt Formular ausfüllen und auf der sicheren Seite sein!

Christoph Dyllick-Brenzinger
(hier folgte meine aktuelle Adresse mit PLZ und Wohnort)

Guten Tag,

anlässlich unserer aktuellen Sicherheitsmaßnahmen in Bezug auf unser TAN-System im Online-Banking, haben wir bei Ihrem Bankkonto einige Korrekturen vorzunehmen.

Diesbezüglich ist es nunmehr notwendig, Ihr altes TAN-Verfahren zu anullieren,
bevor Ihnen ein neues, sichereres gewährt werden kann.

Bitte benutzen Sie folgendes Formular um die Änderung Ihres TAN-Systems kostenfrei durchzuführen.

Andernfalls müssen wir Ihr Konto mit 28 EUR belasten und für die Änderung einen unserer Kundendienstmitarbeiter beauftragen, der den Prozess mit Ihnen manuell durchführen wird.

Für Ihr neues TAN-Verfahren können Sie sich bequem registrieren in dem Sie folgende Schritte durchführen:

1. Öffnen Sie Ihren E-Mail Anhang und wählen Sie das Formular aus.
2. Füllen Sie alle Daten aus und klicken Sie dann auf “Aktualisieren”.
3. Sie erhalten Ihr neues TAN-Set mit weiteren Informationen i.d.R nach einer Woche per Post zugesandt.

Für weitere Fragen steht unser E-Mail Support unter info@ing-diba.de gerne für Sie zur Verfügung.

Mit freundlichen Grüßen
Ihre ING-DiBa
Martin Clasens

Angehängt ist eine Datei: Formular.html – später mehr dazu…

Nun bin ich kein Kunde bei der ING-DiBa, deshalb weiß ich, dass diese Mail nicht echt sein kann. Doch woran erkennt man die hinterhältigen Absichten, wenn man ein Kunde der ING-DiBa ist? Auch mein Spam-Scanner hat nichts verdächtiges gefunden und die Mail mit dem Tag X-Spam-Suspicion: No versehen.

Auch ein Blick in den Quellcode der E-Mail bringt nichts verdächtiges zum Vorschein. Man findet keine versteckten Links oder Hidden-Bits, mit denen z.B. Spam-Versender den Empfang der E-Mail verifizieren. Auch die Absenderadresse und der eingetragenen Mail-Relay bringen nichts ungewöhnliches zum Vorschein. Die E-Mail würde ich somit als formal sauber bezeichnen. Anders sieht es natürlich mit dem Inhalt der Nachricht und dem Anhang aus.

Bei Verdacht auf Spam niemals einen Anhang öffnen

Virustotal.de meldet, dass sich in dem HTML-Formular kein bekannter Schadcode befindet.

Als nächstes nehme ich mir den Anhang vor. Ich speichere diesen als HTML-Datei an einer beliebigen Stelle und lade diese Datei zu allererst bei VirusTotal hoch. Für VirusTotal ist diese Datei keine unbekannte, wie mir in einem Popup bestätigt wird (siehe Abbildung oben). Aber egal ob man die letzte Analyse anzeigen oder neu analysieren lässt, VirusTotal findet in der Datei keine bekannten Schadsoftware. (Weitere Informationen zu VirusTotal finden Sie im Artikel Mit Virusscannern Dateien auf Viren prüfen in diesem Blog.)

Ich betrachte den Inhalt also mit einem Texteditor. Grundsätzlich empfiehlt es sich, für solche Arbeiten immer eine virtuelle Maschine oder noch besser einen Linux-PC zu verwenden. Diese sind vom Prinzip schon deutlich weniger anfällig für jeglichen möglichen Schadcode, der irgendwie zur Ausführung kommen könnte.

Wer sich ein bisschen mit HTML-Quellcode auskennt, merkt sofort, dass es sich hier nicht um ein gewöhnliches HTML-Formular handelt. Die gesamte Datei besteht aus unleserlichem Zeichensalat und einer Javascript-Funktion, um diesen Zeichensalat in gültiges HTML umzuwandeln. Im folgenden Kasten sind nur Auszüge der HTML-Datei aufgeführt.

var compton = {
    _keyStr: "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=",
    decode: function(input) {
        ...
    },
    _utf8_decode: function(utftext) {
        ...
    }
}
var str = compton.decode("PCFET0NUWVBFIEhUTUw+DQo8aHRtbCBsYW5nPSJkZSIgeG1sbnM6d2lja2V0PSJodHRwc
zovL2dpdC13aXAtdXMuYXBhY2hlLm9yZy9yZXBvcy9hc2Yvd2lja2V0L3JlcG8/cD13aWNrZXQuZ2l0O2E9YmxvYl9wbGFp
bjtmPXdpY2tldC1jb3JlL3NyYy9tYWluL3Jlc291cmNlcy9NRVRBLUlORi93aWNrZXQtMS41LnhzZDtoYj1tYXN0ZXIiIGR
hdGEtZGV2aWNlPSJERVNLVE9QIj4NCjxoZWFkPjxsaW5rIHJlbD0ic3R5bGVzaGVldCIgdHlwZT0idGV4dC9jc3MiIGhyZW
Y9Imh0dHA6Ly8wMTk4NjQu4oCLeHl6L3cvci9LcWNZZkkzT0ptR0dBSlpsWmtHbjI5clByTjNnaFNVZ3FLRWtDNFJUS0dXN
...

Der gesunde Menschenverstand schlägt Alarm

Das Formular soll Vertrauen erwecken und fragt zuerst persönliche Daten ab.

Nachdem wir nun wissen, was wir vor uns haben, öffnen wir das Formular in einem Browser mit deaktiviertem Javascript. Der Browser zeigt uns ein gut gefälschtes Formular mit dem Logo der ING-DiBa, in dem Geburtsdatum, Geburtsort, Name und Anschrift abgefragt werden. Ein Hinweis in der Ecke weißt darauf hin, dass diese Verbindung sicher ist. Auf den ersten Blick sieht alles normal und seriös aus.

Sobald man diese Felder befüllt und auf Weiter klickt, gelangt man zu einer zweiten Seite, auf der man aufgefordert wird, die aktuell TAN-Liste hochzuladen, um diese zu entwerten.

Der genaue Wortlaut des Formulars lautet:

iTAN-Liste entwerten
Bitte machen Sie in Foto Ihrer TAN-Liste (mittels Digitalkamera oder Scanner) und laden Sie dieses hoch.

Um zu gewährleisten das unser System Ihr Dokument einwandfrei zuordnet, achten Sie bitte auf eine entsprechend gute Qualität.
Bitte beachten Sie außerdem, dass aus Sicherheitsgründen ausschließlich nur unser System Ihre TAN-Liste bearbeiten kann und darf.

Die Betrüger haben es auf die TAN-Liste Ihrer Opfer abgesehen.

Auf dieser Formularseite erkennt man nun die tatsächliche Absicht hinter der gesamten Spam-E-Mail der ING-DiBa. Die Betrüger hoffen bei Ihren Opfer Vertrauen zu erwecken, so dass diese Ihre persönlichen Angaben und eine aktuelle iTAN-Liste hochladen.

Fazit: bleiben Sie wachsam und hören Sie auf Ihren gesunden Menschenverstand

An dieser Stelle haben wir den Versuch abgebrochen, weil klar wurde, was das Ziel dieser betrügerischen E-Mail ist. Es lässt sich jedoch festhalten, dass die Betrüger sich sehr viel Mühe gemacht haben, eine optisch ansprechende und fehlerfreie Betrugs-E-Mail zu entwerfen. Bis auf den Komma-, und Rechtschreibfehler auf der zweiten Seite des Formulars ist die E-Mail fehlerlos und führt auch Spam-Erkennungstools hinter das Licht. Dies ist auch nicht verwunderlich, da von der eigenen E-Mail keine Bedrohung ausgeht. Erst eine bewusste Aktion der Opfer kann zu einer Schädigung führen. Social engineering nennt man das in der Sicherheitsbranche.

Daher der Appell: Vertrauen Sie Ihrem gesunden Menschenverstand! Fragen Sie sich, ob eine Bank Ihnen wirklich ein Formular zuschicken würde, um Ihre persönlichen Daten und Ihre TAN-Liste abzufragen. Wenn in Zweifel, dann lieber nicht öffnen. Mit dieser Wachsamkeit bewahren Sie sich auch zukünftig vor Schaden. Und wenn Sie dann immer noch unsicher sind, dann rufen Sie uns an: +49 (0)6131 327070. Gerne helfen wir Ihnen dabei, Spam- oder Betrugs-E-Mails von echten E-Mails zu unterscheiden.