Wenn “Microsoft“ anruft: Auflegen oder lügen!

Die Abzockmethode wird schon seit Jahren angewandt, und immer noch gibt es Menschen, die sich von den Lügnern am anderen Ende der Leitung um den Finger wickeln lassen und ihnen wichtige Daten oder gar den Zugang zum PC überlassen. Dabei ist es so einfach, die Möchtegern-Microsoft-Mitarbeiter loszuwerden.

Achtung: Die Anrufer von Microsoft gehören zu jenen digitalen Wegelagerer,
die versuchen, mit social Engineering ans Ziel zu kommen.                Bild PfW

Bei der inzwischen als Microsoft-Support-Betrugsmasche bekannten Betrugsmethode, gehen die meistens Englisch sprechenden Täter, die in der Regel einen starken südostasiatischen Akzent aufweisen,  im grossen Ganzen immer nach dem gleichen Muster vor:  Angerufene potentielle Opfer, die sich mit ihnen auf ein Gespräch einlassen, werden eindringlich davor gewarnt, ihren PC weiter zu verwenden – dieser sei nämlich mit Schadsoftware verseucht und werde ohne entsprechende Gegenmassnahmen demnächst seinen Dienst aufgeben. Die Betrüger bieten natürlich ihre Hilfe an – gegen ein bescheidenes Honorar  von oft mehreren 100 Euros. Dafür offerieren sie eine Fernreparatur, sowie eine Garantie. Die dazu benötigte Software muss das ausgesuchte Opfer vom Net herunterladen und am PC installieren – was dann zur zweiten Stufe der Abzocke führt: Die Täter verfügen nun über einen Trojaner im PC des Opfers, mit dem sie den Computer des Opfers auch in Zukunft ausspähen und manipulieren können. Wohin das führen kann, zeigt ein aktueller Fall, den die Faz ausführlich dokumentiert hat, der aber recht glimpflich ausgeht:

“Martin Schmitt hat dennoch Glück. Nachdem er nach dem verhängnisvollen Telefonat unverzüglich bei seiner Bank anruft, kann diese die Überweisung gerade noch zurücknehmen. Danach meldet er den Vorfall der Polizei, um Strafanzeige gegen unbekannt zu stellen. […] Ganz so glimpflich kam Schmitt nun doch nicht davon. Als er seinen Computer wieder anschaltete, verlangt dieser noch vor Windows-Start ein Passwort, das natürlich nicht er, sondern nur die Kriminellen kennen und wofür sie vermutlich noch einmal Geld haben wollen. Anlass genug für Schmitt, seinen Rechner „neu aufzusetzen“, also die Festplatte neu zu formatieren und Windows 10 noch einmal zu installieren. Ist das ausreichend? Wir haben auch hier mit den Fachleuten vom Cispa, dem BSI und zudem mit einem Virenanalysten von Kaspersky gesprochen. Zwei Szenarien sind theoretisch vorstellbar: Erstens könnte sich ein Trojaner „unterhalb“ des Betriebssystems einnisten wie etwa auf der physischen Festplatte, dem Mainboard, der Firmware des CD-Laufwerks oder im Bios. Solch eine Schadsoftware ist eher selten, würde allerdings eine Neuinstallation des Betriebssystems überleben. Zweitens könnte sich ein Virus auf der Datenfestplatte einnisten und Programme infizieren, die dort etwa in einem Download-Ordner liegen und bei abermaligem Start nach der Bereinigung wieder aktiv werden könnten. Das ist wahrscheinlicher, kann aber einfach überprüft werden, indem man die Datenfestplatte mit mindestens einem Anti-Viren-Programm untersucht. Zudem kann man eine abermalige Infizierung verhindern, indem man keine Dateien aus diesen Ordnern abermals ausführt.“

Vorbeugen ist bekanntlich besser als heilen; das gilt auch in diesem Fall. Und obwohl wir das ja nur ungern tun, gibt es eigentlich nur ein richtiges Vorgehen,  gegen die betrügerischen Anrufer: Entweder sofort auflegen – oder ganz freundlich lügen. Wenn Sie nämlichen dem “Microsoft“-Mitarbeiter mitteilen, dass sie gar keinen PC besitzen – höchstens einen iPad – werden Sie die Erfahrung machen, dass der Anruf in der Regel blitzschnell und ohne weitere Höflichkeiten abgebrochen wird.

Plastikgeld – mit Echtzeitwarnung?

Plastikgeld könnte so praktisch sein – die Angabe einer Nummer im Webshop genügt, und schon ist der Einkauf im Internet getätigt. Der ganze Abrechnungsaufwand läuft automatisch: Für den Händler entfällt die Rechnungsstellung, für den Käufer die Bezahlung per Anweisung.  Wenn da nur die vielen Gauner nicht wären, deren einziges Ziel es ist, mit unseren Kreditkarten Geld auszugeben. Dessen sind sich auch die Konsumenten bewusst – und sie denken durchaus mit, wenn es um die Eindämmung der Kreditkartenbetrügereien geht.

Im digitalen Zeitalter müssen Diebe Kreditkarten nicht mehr physisch stehlen: es gibt genügend
andere Möglichkeiten, um damit zu betrügen.                                                           Bild pfw

Die Schäden die durch Kreditkartenbetrug verursacht werden, sind enorm: Obwohl die Kartenunternehmen und Banken immer leistungsfähigere Überwachungssysteme einsetzen, nehmen sie weiter zu. Wir haben keine Zahlen für Europa, aber in den USA sind es mehr als eine Milliarde Dollar pro Jahr. In den allermeisten Fällen müssen diese Schäden nicht von den einzelnen Karteninhabern übernommen werden – die Kartenunternehmen absorbieren sie als Teil der Geschäftskosten. Trotzdem schadet die Kartenkriminalität dem Geschäft – vor allem im Europäischen Onlinehandel wäre die Beteiligung wahrscheinlich um einiges höher, wenn die Konsumenten sich nicht über Betrug sorgen würden. Wie wir schon früher in unserem Blog festgehalten haben:

“Das Bezahlen per Kreditkarte hinterlässt für viele Kunden ein unsicheres Gefühl – vor allem dann, wenn sie schon mal Opfer von digitalen Wegelagerern geworden sind. Das ist schnell passiert – und zwar auch dann, wenn man gar nichts falsch gemacht hat. In vielen Fällen lässt sich nie eruieren, wie die Betrüger an die Kreditkartendaten gekommen sind. Der PC wird von einem Schutzprogramm bewacht und die Karte nur in seriösen Läden eingesetzt – und trotzdem ist es irgendeinem Gauner gelungen, an die Daten zu kommen…“

Die neue Studie eines Unternehmens, das sich mit prädiktiver Analytik und Softwarelösungen für Entscheidungsmanagement befasst, zeigt nun, dass Konsumenten durchaus dazu bereit sind, am Schutz ihrer Kredit- und EC-Karten aktiv mitzuarbeiten.
Die größte Sorge der Befragten beim Zahlungsbetrug sind nicht die finanziellen Verluste – wie erwähnt werden diese meistens von der Kartenfirma übernommen. Karteninhaber sorgen sich um die verlorene Zeit, die sie aufwenden müssen, um die durch Betrug verursachten Probleme wieder zu lösen.
Dementsprechend zeigte sich die Mehrheit der Befragten an Tools interessiert, die es ihnen ermöglichen, ihre eigene Zahlungssicherheit aktiv mitzugestalten. Mehr als die Hälfte der Befragten gab an, dass sie beispielsweise eine mobile App nutzen würden, mit der sie Zahlungsarten – etwa nur in Geschäften oder im Online- und Versandhandel – und ein
en Höchstbetrag für Kartenzahlungen festlegen können.
US-Verbraucher zeigten im Vergleich das höchste Interesse an Echtzeit-Benachrichtigungen: 63 Prozent der Befragten sagten, sie würden einen Service nutzen, der automatisch E-Mails oder Textnachrichten verschickt, wenn verdächtige Transaktionen mit einer Karte getätigt werden.
Tatsächlich funktionieren derartige Vorbeugungsmassnahmen oft hervorragend: So wurden wir beispielsweise von unserer Kreditkartenfirma an einem Samstagabend angerufen und darüber in Kenntnis gesetzt, dass soeben jemand in Berlin mit unserer Karte zwei Flugtickets gekauft habe – obwohl wir uns gerade in Nordamerika aufhielten.  Die Transaktionen wurden in der Folge gestoppt und auf unserer Abrechnung nie ausgewiesen…

Liebe genügt nicht: Wie Sie mobil sicher bleiben

Wir lieben unsere Smartphones und Tablets – und zwar so sehr, dass wir sie mit ins Bett nehmen. Scheinbar lieben wir sie aber nicht genug, sonst würden wir sie ja vor Kriminellen schützen. Fast die Hälfte aller User von mobilen Geräten schützt diese überhaupt nicht vor unerlaubten Zugriffen. Oft wird nicht mal ein Passwortschutz eingerichtet. Fast ein Drittel der befragten Teilnehmer einer neuen Symantec-Sicherheitsstudie gibt zu, dass ihre Bequemlichkeit der Grund für die mangelnden Schutzeinrichtungen sei.

Ohne Sicherheitsmassnahmen sind mobile Geräte genauso gefährdet wie Ihr
stationärer PC - digitale Gauner warten nur darauf, in die Sicherheitslücke zu
springen.

Das ist umso nachlässiger, als weltweit fast die Hälfte aller Berufstätigen Anwender ihre privaten PCs, Laptops, Smartphones oder Tablets auch beruflich einsetzen.

“Wenn das ein Test wäre, würden die mobilen Nutzer durchfallen“, sagt Sicherheitsexperte Stefan Wesche von Symantec. „Während die Mehrheit im Umgang mit ihrem PC ein relativ hohes Sicherheitsbewusstsein an den Tag legt, wird dieses Verhalten nicht auf die Nutzung von Smartphone oder Tablet übertragen. Das ist fast so als hätten sie eine Alarmanlage für ihr Haus, würden aber ihr Auto unverschlossen und mit offenen Fenstern abstellen.“

Der Norton Report 2013 von Symantec zeigt ausserdem: Während die Gesamtanzahl der Opfer von Internetkriminalität gefallen ist, sind die Kosten pro Kopf um 50 Prozent gestiegen1.

“Die modernen Cyberkriminellen verwenden immer raffiniertere Methoden, wie Erpressersoftware oder Spear-Phishing, die ihnen pro Angriff mehr Geld einbringen als zuvor“, erklärt Stephen Trilling, Chief Technology Officer von Symantec diesen scheinbaren Widerspruch. „Zusammen mit dem Fakt, dass 49 Prozent der Anwender ihr privates Mobilgerät auch für die Arbeit nutzen, entstehen hier völlig neue Sicherheitsrisiken für Unternehmen, denn die Betrüger haben potentiell Zugriff auf wichtige Unterlagen.“

Die Sicherheitsspezialisten bei Symantec haben auch eine Reihe von Anwendertipps zu diesem Thema publiziert:

•  Eine gute Sicherheitslösung ist essentiell. Eine umfassende Sicherheitssoftware ist die beste Verteidigung gegen Bedrohungen aus dem Netz.
•  Cyberkriminelle sind mobil. Das mobile Netz wird zunehmend Ziel von Cyberkriminellen. Deshalb ist der Schutz mobiler Geräte sehr wichtig: Ein Passwort und Vorkehrungen gegen Diebstahl, Verlust und Angriffe aus dem Netz sollten zur Grundausstattung gehören.
•  Vorsicht in der Cloud: Online-Speicherdienste machen das Speichern und Teilen von Dateien einfacher. Es ist aber wichtig, sich immer darüber im Klaren zu sein, wer Zugang zu den Dateien in der Cloud besitzt. Zudem sollte unbedingt ein Dienst mit integrierten Sicherheits-Features verwendet werden.
•  Sichere Verbindungen für sensible Daten: Offene oder ungesicherte Hotspots machen es Datendieben einfach, sensible Informationen wie Zugangsdaten oder Kreditkartennummern abzufangen. Solche Daten sollten nur über einen persönlichen VPN-Clienten ausgetauscht werden.
•  Behalten Sie den Überblick: Kontoauszüge und Kreditkartenabrechnungen sollten regelmässig auf Unregelmässigkeiten geprüft und verdächtige Aktivitäten sofort dem Kreditkartendienstleister gemeldet werden.

Es empfiehlt sich für alle Anwender, die grundlegenden Sicherheitsregeln im Umgang mit dem Internet zu beachten. Wie wir an dieser Stelle auch schon beschrieben haben, gibt es genügend digitale Wegelagerer, die nur darauf warten, in die Sicherheitslücke zu springen, die Sie offen lassen.

Digitale Wegelagerer

Onlineshopping wird, man weiss es, immer populärer. Logisch – schliesslich bringt es viele Vorteile und kann sogar Spass machen.  Aber es gibt ein Problem: Trotz vieler Gegenmassnahmen ist der Betrug im Internet zu einer weitverbreiten Plage geworden, welche die Entwicklung des e-Commerce hemmt. Besonders oft werden dabei Kreditkartendaten missbraucht. Jetzt gibt es jetzt sogar Apps fürs Smartphone, um Kreditkartendaten im Vorbeigehen zu stehlen.

Die Kreditkarte ist ja eigentlich das ideale Mittel um Rechnungen per sofort und auf Distanz zu bezahlen. Vielerorts, zum Beispiel in Nordamerika, ist sie sogar das alleinige Mittel, um Online-Einkäufe zu tätigen. Da käme es einem Internethändler nicht im Traum in den Sinn, Rechnungen zu verschicken oder sein Geld bei der Bank des Kunden einzufordern. Trotzdem hinterlässt das Bezahlen per Kreditkarte für viele Kunden ein unsicheres Gefühl – vor allem dann, wenn sie schon mal Opfer von digitalen Wegelagerern geworden sind. Das ist schnell passiert – und zwar auch dann, wenn man gar nichts falsch gemacht hat. In vielen Fällen lässt sich nie eruieren, wie die Betrüger an die Kreditkartendaten gekommen sind. Der PC wird von einem Schutzprogramm bewacht und die Karte nur in seriösen Läden eingesetzt – und trotzdem ist es irgendeinem Gauner gelungen, an die Daten zu kommen. Möglichkeiten gibt es ja, viele, wie man im Internet – wo denn sonst – nachlesen kann. Zum Beispiel auf hackerland.de:

“Sogenannte »Monitoring-Programme« oder »Sniffer« erlauben Systemadministratoren jeglichen Transfer ihrer Benutzer im Internet zu kontrollieren. Diese Observation ist nötig, um bei einem Datenstau die Fehlerquellen schneller lokalisieren zu können. Ein Administrator eines renommierten Internetanbieters ist zwar im seltensten Fall jemand, der sich an persönlichen Daten seiner Kunden vergreift, dennoch ist ein Missbrauch nicht auszuschließen. Hacker haben eine ähnliche Methode entwickelt, um Daten ahnungsloser Benutzer zu erbeuten. Sie installieren kleine Spionage-Applikationen in die Rechner von Internetanbietern, die ebenfalls die Fähigkeit besitzen, Daten abzuzapfen. [...]
Eine viel einfachere Möglichkeit erlaubt es vor allem Gelegenheitshackern, sich Kreditkartennummern anzueignen. Der Hacker richtet eine eigene Homepage ein und bietet auf dieser ein bestimmtes Produkt an. Sobald ein Anwender auf dieses Angebot eingeht und mit der Eingabe seiner Kreditkartennummer eine Bestellung bei dem Hacker aufnimmt, kommt dieser problemlos an die gewünschten Informationen heran.“

Die oben beschriebenen Methoden muten eher altmodisch an, wenn man bedenkt, dass es heute sogar Apps für’s Smartphone gibt, mit denen Kreditkartendaten auf Distanz gestohlen werden können. Da reicht es schon, dass man sich in der Nähe des Diebes aufhält (siehe Video). Schutz verspricht in diesem Fall scheinbar nur ein metallenes Etui, dass die Karte abschirmt.

Die Schäden, die durch Kreditkartenbetrüger angerichtet werden, sind immens. Abgesehen vom Vertrauensverlust belaufen sie sich auf Milliarden von Franken, Dollars und Euro. In den USA belief sich der Schaden schon vor Jahren auf 7 Cents pro 100 Dollar Kartenumsatz.

Ein Grund dafür, dass Kreditkartenbetrug so häufig ist, besteht darin, dass sich dabei oft um ein Verbrechen ohne Opfer handelt. Will heissen: Die Kreditkartenfirmen decken die entstehenden Schäden durch die Gebühren ab, die sie ihren Kunden belasten, und die Kunden müssen für die betrügerische Nutzung der Kreditkarte nicht haften, wenn sie sich nicht sehr nachlässig verhalten haben. Davon profitieren auch die Betrüger: Meistens wird kein oder nicht viel Aufwand betrieben, um ihnen auf die Spur zu kommen – das wäre schlicht zu aufwendig, sowohl für die Kreditkartenfirmen, wie auch für die Polizei.