Vor kurzem haben wir einen neuen Account bei Ebay angelegt und haben, wie es nunmal so ist, auch einen Artikel erworben. Da Ebay sämtliche Aktionen, welche den Kauf oder die Abwicklung betreffen, via E-Mail bestätigt, haben wir uns auch nichts weiter beim Erhalt einer Dankesmail für unseren ersten Kauf gedacht.

 (Zum vergrößern bitte anklicken)

Die Verifikation, dass es sich tatsächlich um eine Mail von Ebay handelt:

eBay hat diese Mitteilung an xxxxx xxxx ( luki-luzi) gesendet. Ihr Vor- und Nachname in dieser Mitteilung sind ein Hinweis darauf, dass die Nachricht tatsächlich von eBay stammt. Mehr zum Thema.

So weit, so gut, nur dass der Vorname zwar richtig, doch der Nachname falsch ist. „Das liegt an dem Umlaut im Nachnamen“, haben wir uns gedacht. Auch die Links in der Mail verweisen auf die originalen Seiten von Ebay? Es sieht zumindest so aus, doch wie können wir sicher gehen?

Ebay meint dazu:

Ich habe eine E-Mail erhalten – stammt sie wirklich von eBay?

Wenn Sie eine E-Mail erhalten, die scheinbar von eBay stammt, in der Sie aber nach persönlichen Daten gefragt werden, sollten Sie misstrauisch reagieren. Es könnte sich dabei um eine gefälschte bzw. eine „Phishing“-E-Mail handeln.

Überprüfen Sie zunächst, ob diese E-Mail auch in Mein eBay unter „Meine Nachrichten“ erscheint.

Ist dies nicht der Fall, leiten Sie die Nachricht über Ihr E-Mail-Programm an spoof@ebay.de weiter.

Also, ab in unseren Account und erst mal schauen, ob diese Mail in unserem Postfach überhaupt vorhanden ist… Fehlanzeige, das Postfach ist leer, bis auf die üblichen Statusmails.

Wir haben die erhaltene Mail an die von Ebay angegebene Adresse weitergeleitet, eine Antwort liegt zwar noch nicht vor, nur aufhören sich einen Gedanken darüber zu machen konnten wir nicht. Es gab im ersten Halbjahr 2007 mehrfach Meldungen und Berichte über Phishing-Baukästen und sich mal schnell 20 – 50 Seiten für einen professionellen Betrug mit Ebay-Konten zu basteln ist relativ einfach.

Die Mail richtet sich an die Zielgruppe „Neulinge bei Ebay“. Ich kennen zwar nicht die Anzahl der täglichen Neuregistrierungen, doch beispielsweise über die Ebay-Community oder einfaches durchforsten lässt sich schnell herausfinden, wieviele Transaktionen der User bereits durchgeführt hat.

 (Zum vergrößern bitte anklicken)

Gehen wir doch mal davon aus, dass es täglich nur 50 Neulinge sind, die so eine Phishing-Mail erhalten und 10 % davon Ihre Daten (Benutzername & Kennwort) über den in der Mail angegebenen Link eintragen. Das macht täglich 5 Accounts mit sämtlichen Kunden- und Kontodaten, was kann man damit alles anstellen…