Phishing & Co.

[Herbie]

Hi,

hiermit oute ich mich als Betroffener des Online-Banking Missbrauchs.

Gestern musste ich mit Erschrecken feststellen, dass unser Giro-Konto über 2.000,- EUR in den Miesen war und habe erst mal einen Schock bekommen.
Es tauchte eine Überweisung über mehr als 4.500 EUR in den kürzlich geleisteten Zahlungen auf, die bis auf den Betrag erst mal logisch erschien. Bei eBay hatten wir in der letzten Woche etwas ersteigert und direkt per Überweisung (eigentlich nur knapp über 40,- EUR) beglichen. Zunächst dachte ich, dass ich irrtümlich vielleicht einen falschen Betrag überwiesen hatte. Bei genauerer Betrachtung fiel mir allerdings auf, dass zwar der Verwendungszweck zu der Überweisung passte, die Empfängerdaten wie Name, Konto-Nr. und BLZ anders waren, als die des korrekten Empfängers hätten sein sollen.

Heute Morgen habe ich bei der Bank angerufen, die den hohen Betrag erhalten haben sollte. Dort sagte man mir, dass es sich bei dem Vorgang offensichtlich um einen Trojaner handelt, der meine Überweisung manupuliert hat. Der Mitarbeiter musste sich wg. des Bankgeheimnisses ein wenig bedeckt halten, deutete jedoch an, dass in solchen Fällen das Geld meist direkt per Abhebung in bar weg sei - ich schätze, so ist es auch in meinem Fall gelaufen.
Ich sollte mich bitte mit meiner Bank in Verbindung setzen und bei der Polizei wegen Betrugs Anzeige erstatten.

Meine Bank habe ich umgehend informiert, die auch einen Rückholauftrag initiiert hat, der mMn voraussichtlich jedoch ins Leere gehen wird. Hoffnung macht mir allerdings die Aussage, dass meine Bank eine Versicherung in solchen Fällen einschaltet und das Geld in 95% der Fälle an die Kunden zurück geht. Meinen Online-Zugang habe ich vorerst sperren lassen und bekomme neue Zugangsdaten zugeschickt.
Meinen Laptop, über die die Überweisung durchgeführt wurde, solle ich formatieren und anschließend nochmal auf Viren/Trojaner prüfen. Ich nutze derzeit FreeAV von AntiVir.

Heute Vormittag war ich zudem bei der Polizei und habe entsprechend Anzeige erstattet.

Ich hoffe sehr, dass das Geld zurück kommt. Das 100fache für einen Artikel zu bezahlen, wäre etwas viel und mit einem Schlag wären über 4.500,- EUR futsch 

Wie schützt Ihr Euch vor solchen Delikten bzw. welche Virenscanner habt Ihr im Einsatz?
Ich überlege, mir nun ein Programm zuzulegen, was auch etwas kostet. Die Premium Version von AntiVir soll ja auch etwas taugen und gegen solche Fälle schützen.

[weltkicker]

Herbie, erstmal mein Beileid, wenn man das so sagen kann,
was Ebay angeht, wo ich recht aktiv bin, habe ich dafür ein extra Konto,
wo nur das Geld drauf ist was gerade gebraucht wird.

[Herbie]

Danke, wenn ich das so sagen kann

Es geht ja in meinem Fall weniger um ebay.
Da war alles sauber. Es hätte auch jede andere Überweisung manipuliert werden können.

[Powerkraut]

Sehr ärgerliche Geschichte. Hoffentlich erstattet die Bank dir die Kohle.

Ich verzichte auf Online-Banking, obwohl mich meine Beraterin alle 3 Monate neu überzeugen will. Solange mir die Bank keine kostenlose und absolut sichere Möglichkeit zur Verfügung stellt (z.B. Kartenterminal ohne Extrakosten) und mir damit jedes Risiko abnimmt, bin ich nicht bereit, als Privatperson solche Bankgeschäfte zu tätigen.

[Herbie]

Ich habe ein reines Online-Konto und könnte auch gar nicht per Überweisungsträger zahlen.

Zu dieser Bank bin ich gewechselt, weil sie im allgemeinen ein fast unschlagbares Paket zum Nulltarif bietet:

- keine Kontoführungsgebühren
- je 1 EC-Karte für beide Ehepartner / Girokonto mit 0,5% Verzinsung
- je 1 KK für beide Ehepartner / Verzinsung der Kreditkartenkonten mit aktuell 2% (besser als die meisten Tagegeld-Konten)
- kostenloses Abheben von Bargeld weltweit (aufgrund unseres Karibik-Urlaubs anfang des Jahres eine richtig tolle Sache)

[Paolo Maldini]

Ich hoffe das sich das mit dem Geld zum positiven klären lassen wird,
sowas ist natürlich immer scheiße und vor allem kann man sich halt nur schwer dagegen wehren!

Hab mein Konto bei der Kreissparkasse,
die haben mit ihrem neuen TAN-Generator momentan das beste System (wie ich finde).

Außerdem hab ich Kaspersky auf meinem Rechner,
von den Bewertungen immer unter den Top 3
Vorteil:
Es verbraucht nicht viel Speicherplatz und macht den Rechner nicht unnötig langsam
außerdem sammelt Kaspersky weltweit Meldungen über Phishing etc. und lässt bei aktivem Programm keinen Zugriff auf einschlägig bekannte Seiten zu.
29 Euro kostet da glaube ich die Jahrespackung für einen Rechner, wie ich finde ein fairer Preis für die Leistung (momentan haben die glaube ich ein EM Angebot )

[cafu]

Ich habe auch die kostenlose Variante von AntiVir.

Habe jetzt erstmal geschaut, ob auf meinem Bankkonto noch alles in Ordnung ist. 

Mir geht es so, dass ich grundsätzlich nie viel Geld auf dem Konto habe (wer kennt das nicht ). Wenn monatsende ist, wird alles das was ich nicht unbedingt brauche auf ein Extrakonto gepackt. Wenn ich es im Laufe des Monats doch brauche, gehe ich nochmal dran und buche zurück. Dispokredit habe ich auch keinen. Das sind für mich Faktoren, die ich beeinflussen kann.

Ärgerlich ist es aber so oder so, ob nun 4.000 oder 400 Euro...

[Sush]

Wenn monatsende ist, wird alles das was ich nicht unbedingt brauche auf ein Extrakonto gepackt.

Oh wäre das schön wenn da was übrig wäre

Btt.: Scheiße, richtig scheiße... Hoffe auch schwer für dich dass du dein Geld wieder bekommst! Ich hab von meiner Bank son TAN-Generator, der zumindest für mich Laien ziemlich sicher klingt und aussieht (schließlich liegt er ja hier auf meinem Schreibtisch und nicht in den Händen der Gangster...)
Kann mir aber auch gut vorstellen, dass das Ding auch keine Sicherheit gewährleistet...

[Dr. Calakmul]

Same like Sush!

Ich hoffe das du dein Geld wieder bekommst und der oder die Gauner ausgeforscht werden können und zur Rechenschaft gezogen werden. 

[hofa]

bei mir wird auch kurz vor ende des Monats fast alles auf ein extrakonto gebucht, überziehen kann ich das konto sich nicht, somit ist diese gefahr schon verringert.

außerdem gibts bei meiner bank die so genannten TacSMS, da wird mir der TAN inkl. der Empfängerkontonummer zum kontrollieren per SMS geschickt, was IMHO ziemlich sicher ist.

als virenscanner verwende ich ebenfalls den kostenlosen antivir.

für eBay (auch wenns bei dir nicht davon kommt) verwende ich außerdem fast nur paypal und das ohne Kreditkarte, kann somit auch nur das draufgebuchte guthaben nutzen.

[Herbie]

Kleines Update:

Bin eben von meiner Bank angerufen worden.
Das Geld wird mir voraussichtlich zurückerstattet. Bei dieser Summe Bedarf es jedoch einer Genehmigung durch den Vorstand. Der Mitarbeiter am Telefon sagte jedoch, dass er bei solchen Phishing Verfahren (Man in the middle nennt sich das, wo wohl eine falsche IP Adresse vom Bankenserver vorgegaukelt wird oder so?), die wohl geläufig wären, bisher keine Fälle hatte, wo das vom Vorstand nicht genehmigt worden wäre - puuuhhh!

Wenn das Geld dann wirklich bis Ende nächster Woche wieder da ist, atme ich noch mal ne Runde tiefer durch..

Der Betrag würde übrigens so gutgeschrieben, als wäre er nie weg gewesen. Sprich keine anfallenden Zinsen.
Was mich ein wenig beunruhigt ist, dass man bei diesem Phishing-Vergehen nichts erkennen kann/konnte.
Sowohl bei der Banken-Seite ansich, als auch in der Adresszeile (etwa am https oder so) hätte man es nicht festmachen können, also quasi no Chance..

[Herbie]

Hier mal zur Info, wie der Man in the middle Angriff funktioniert:

Das iTAN Verfahren beim Online Banking ist nicht trojanersicher
So funktioniert der Man-in-the-Middle Angriff eines Trojaners auf das iTAN-Verfahren (nach dem Motto "tarnen, abhoeren, faelschen, taeuschen"):

Der Bankkunde gibt eine Ueberweisung ein, sagen wir 50 Euro an X. Das Formular wird vom Bankkunden abgeschickt, doch noch bevor es verschluesselt wird (SSL) und durch das Internet an die Bank geschickt wird, faengt der Trojaner es ab und macht daraus eine Ueberweisung von 5000 Euro an Y. Dieser manipulierte Ueberweisungsauftrag wird verschluesselt und an die Bank geschickt. Die Bank empfaengt den Auftrag und schickt die Rueckfrage "Bitte bestaetigen Sie die Ueberweisung von 5000 Euro an Y mit der iTAN Nr. 37!" an den Bankkunden. Nachdem die Nachricht beim Kunden-Rechner angekommen ist und entschluesselt worden ist, aber noch bevor sie auf dem Bildschirm des Bankkunden angezeigt wird, faengt der Trojaner sie ab und zeigt dann dem Bankkunden am Bildschirm anstattdessen an "Bitte bestaetigen Sie die Ueberweisung von 50 Euro an X mit der iTAN Nr. 37!". Ahnungslos gibt der Kunde seine iTAN Nr. 37 ein. Der Trojaner gibt die iTAN an die Bank weiter. Die Bank ueberweist 5000 Euro an Y. Weder der Kunde noch die Bank haben etwas von dem Betrug bemerkt. Wenn der Trojaner gut geschrieben ist, prueft er vor dem Angriff, wieviel der Bankkunde maximal ueberweisen kann, und zeigt nach dem Angriff dem Bankkunden noch ein paar Tage lang in der Konto-Uebersicht Daten an, die so aussehen, als wenn 50 Euro an X ueberwiesen worden waeren.

Der Angriff ist auf diesen pdf-Folien als eine Art Daumenkino nochmal dargestellt. Hier ist ein Video von IBM, das den Angriff auf das iTAN Verfahren ebenfalls darstellt: http://video.golem.de/internet/1692/ibm-ztic.html

[Andi von Hideta]

Erstmal muss ich sagen, dass mir das sehr leid tut für dich, Herbie. Ist echte ne miese Schweinerei, so die Leute abzuziehen. Ich drücke dir die Daumen, dass du die Kohle wieder bekommst, egal von wem.

Mir ging es mal so, dass meine damalige Bank das Onlinekonto gesperrt hatte, weil die selbst bei mir so nen Trojaner gefunden hatten. Hab dann den Rechner wieder clean gemacht und dann ist alles wieder freigeschaltet worden. Ist zum Glück nichts passiert.

Ich war nicht so überzeugt, von den iTAN oder SMS-TAN Systemen.

[Dr. Calakmul]

Wahnsinn wozu manche im Stande sind.
Wenn ich das so lese wird mir richtig schlecht!

[Paolo Maldini]

Kleines Update:

Bin eben von meiner Bank angerufen worden.
Das Geld wird mir voraussichtlich zurückerstattet. Bei dieser Summe Bedarf es jedoch einer Genehmigung durch den Vorstand. Der Mitarbeiter am Telefon sagte jedoch, dass er bei solchen Phishing Verfahren (Man in the middle nennt sich das, wo wohl eine falsche IP Adresse vom Bankenserver vorgegaukelt wird oder so?), die wohl geläufig wären, bisher keine Fälle hatte, wo das vom Vorstand nicht genehmigt worden wäre - puuuhhh!

Wenn das Geld dann wirklich bis Ende nächster Woche wieder da ist, atme ich noch mal ne Runde tiefer durch..

Der Betrag würde übrigens so gutgeschrieben, als wäre er nie weg gewesen. Sprich keine anfallenden Zinsen.
Was mich ein wenig beunruhigt ist, dass man bei diesem Phishing-Vergehen nichts erkennen kann/konnte.
Sowohl bei der Banken-Seite ansich, als auch in der Adresszeile (etwa am https oder so) hätte man es nicht festmachen können, also quasi no Chance..

daumen Hoch wenns klappt 

Wahnsinn wozu manche im Stande sind.
Wenn ich das so lese wird mir richtig schlecht!

Das sind "eigentlich" alte Kamelle, aber erschreckend ist, dass man bis heute noch nein Mittel dagegen gefunden hat.
Noch mieser ist das einkaufen mit gefälschten Kreditkartendaten (die Daten kann man im Netz kaufen / Karten mit einem Codiergerät zu Hause selbst herstellen)
in Verbindung mit Packstationsmissbrauch !

Hier gibts News zu den aktuellen Maschen
http://www.abzocknews.de/category/aktuelle-warnungen/