Phishing-Mails erreichen Höchststand
Die Anti-Phishing-Working Group hat die Zahlen für Januar veröffentlicht. Sowohl die Anzahl der Phishing-Mails als auch die Anzahl der Webseiten mit schädlichem Code erreichten Rekordmarken. In Florida gelang es, die Server von drei Banken zu cracken. Die Postbank reagiert auf das gestiegenen Gefahrenpotential und versendet nur noch signierte E-Mails.
Phishing hat in den letzten Jahren enorm zugenommen und ist neben Malware und Spam zur größten Bedrohung für Internetnutzer geworden. Das belegen auch die Zahlen des aktuellen Phishing Activity Trends Report der AntiPhishing Working Group. Im Januar 2006 wurden insgesamt 17.877 Phishing-Mails gezählt - mehr als jemals zuvor. Auch die Anzahl der Webseiten, auf die in diesen Phishing-Mails verwiesen wurde, ist auf die Rekordzahl von 9.715 Webseiten angestiegen. Seit Januar 2005 (2.560) ist deren Anzahl damit um das 3,8 fache gestiegen. Aber mittlerweile verweisen die Links in solchen offiziell erscheinenden Phishing-Mails nicht mehr nur auf täuschend echt nachgeahmte Betrugsseiten. In immer mehr Fällen verweisen die URLs auf Webseiten mit schädlichem Code. Dann wird versucht über Sicherheitslücken der Browser, Trojaner zu installieren, die Passwörter ausspionieren. Im Januar wurden 1.100 solcher Seiten gezählt auf denen 184 verschiedene Passwort-Spione hinterlegt waren. Die Anzahl dieser Seiten hat sich seit April 2005 (260) mehr als vervierfacht.
Ein ebenfalls wachsender Bereich von Trojanern, versucht den Besuch bei der Online-Bank auf eine gefälschte Seite umzuleiten. Dazu wird die Umwandlung von Domainnamen (die wir Menschen uns gut merken können z.B. www.meinebank.de) in IP-Adressen (mit denen Rechner gut umgehen können. z.B.: 127.0.0.1) sabotiert. Dies ist auch unter dem Begriff Pharming bekannt.
Aber auch vor dem letzten Glied in der Kette - dem Webserver der Banken - machen die Online-Betrüger nicht Halt. Bislang wurde versucht per Cross-Site Scripting oder über eingebettete FRAMES schädliche Inhalte in die echten Seiten einzuschmuggeln. In Florida wurden nun - wie Netcraft berichtet - die Server von 3 Banken gecrackt und deren Kunden wurden auf gut gefälschte Seiten umgeleitet. Der Schaden sei minimal gewesen. Aber die Lektion, die man daraus lernen sollte lautet: Selbst wenn man den korrekten URL eingibt, kann man nicht sicher sein, ob man auf der echten Seite ist.
Die Arbeitsgruppe Identitätsschutz im Internet hat "10 Gebote zum Schutz vor Phishing" erstellt:
1. Pflegen Sie die Browser-Software regelmäßig mit aktuellen Sicherheits-Updates.
2. Überprüfen Sie das Sicherheitszertifikat der Web-Seite
3. Überprüfen Sie, ob die Website gesichert ist, bevor kritische Daten eingegeben werden: Die URL sollte mit "https://" und nicht nur mit "http://" starten.
4. Gehen Sie niemals über einen angebotenen Link zu der gewünschten Website. Geben Sie stattdessen immer die entsprechende URL in den Browser ein. Wenn Sie statt des Domainnamens die IP-Adresse der Bank eingeben, können Sie auch Pharming-Angriffen entgehen (siehe www.dnsstuff.com) .
5. Deaktivieren Sie Javascript im Browser, um Cross-Site-Scripting zu vermeiden, und den Windows Skripting Hosts (WSH), um die Ausführung von ungewollten Skripten zu unterdrücken.
6. Öffnen Sie möglichst keine Mails von unbekannten Absendern
7. Verifizieren Sie auffällige Mails von vertrauten Adressaten (wie zum Beispiel der eigenen Bank) mit einem kurzen Anruf.
8. Schließen Sie den Browser, falls die gewünschte Website in der Regel eine Authentifizierung verlangt und plötzlich ohne eine solche auszukommen scheint.
9. Installieren Sie Webfilter, die ihren Sperrkatalog ständig um gefälschte Web-Seiten erweitern.
10. Setzen Sie aktuelle Anti-Virenprogramme und Firewalls ein. Verwenden Sie die neuesten Signaturen.
Auch die Postbank reagiert auf die gestiegene Gefahr. Um Missverständnisse beim Versand von E-Mails vorzubeugen, werden E-Mails von den öffentlichen Mailadressen der Postbank nur noch signiert versendet. Obwohl die Handhabung von signierten E-Mails etwas umständlicher vonstatten geht, bietet diese Maßnahme einen ziemlich guten Schutz, der andere Verfahren wie iTAN oder mTAN ergänzt.
Aber auch bei allen Schutzmechanismen bleibt der größte Teil der Verantwortung beim Kunden. Nur wer misstrauisch genug ist, kann sich gegen die Tricks der Phisher wappnen.
Weitere Informationen:
APWG Phishing Activity Trends Report January, 2006 (engl., PDF)
Grafik: Phishing Reports Jan05 - Jan06
Netcraft: Phishers Hack Bank Sites, Redirect Customers
© 2007 - 2012 G Data Software AG. Todos os direitos reservados.
