Titelbild: Beispielbild pixabay
Achtung, neue Betrugsmasche im Postfach: Der Anruf-Phishing-Brief ohne Link
Es sieht aus wie eine echte Warnung der IT. Kein krummer Link, keine schlechte Rechtschreibung, sogar mit Anti-Phishing-Hinweis. Genau das macht die aktuelle Welle so gefährlich.
Seit dieser Woche kursiert eine E-Mail mit dem Betreff „INTERNAL IT INFRASTRUCTURE & SECURITY NOTICE“. Darin heißt es, das zentrale Endpoint-Schutzsystem habe einen Trojaner – http://Trojan.Win32.Spyware – auf dem Arbeitsrechner gefunden. Es gehe um interne vertrauliche Dateien, Mitarbeiter-Credentials, Banking- und Payroll-Daten. Der Netzwerkzugang sei vorsorglich eingeschränkt worden.
Und dann kommt der entscheidende Satz: In strikter Übereinstimmung mit den Zero-Trust-Richtlinien enthalte diese Benachrichtigung KEINE Hyperlinks. Man solle auf keinen Fall auf externe Links klicken, sondern ausschließlich die Emergency Hotline anrufen.
Die Nummer: +18337354121, 24/7 Incident Response Line. Wer nicht innerhalb von zwei Stunden anrufe, riskiere die vollständige Kontosperrung.
Das ist kein IT-Helpdesk. Das ist die Falle.
Sicherheitsexperten nennen das „Callback-Phishing“ oder „Telephone-Oriented Attack Delivery“. Weil fast jeder inzwischen gelernt hat, nicht auf Links zu klicken, drehen die Täter den Spieß um. Sie lassen das Opfer selbst anrufen. Am anderen Ende sitzt ein professionell klingendes Callcenter. „Ja, hier IT-Notfallteam, wir müssen sofort eine Fernwartung durchführen.“ Dann kommt die Aufforderung, AnyDesk oder TeamViewer zu installieren, dann der Zugriff auf den Rechner, auf das Online-Banking, auf die Firmenkonten.
Woran erkennt man den Fake, wenn er doch so sauber aussieht?
Erstens am Platzhalter. Ganz unten steht wörtlich „[Company Name]“ – die Vorlage wurde nicht einmal sauber angepasst.
Zweitens an der Logik, eine Firma mit der Domain würde niemals ihre Mitarbeiter in Deutschland auf eine amerikanische 833-Toll-Free-Nummer verweisen.
Drittens an der Taktik, echte IT sperrt nicht ohne Ticketnummer, ohne Namen, ohne Rückrufnummer aus dem Intranet und schreibt niemals „Antworten auf dieses Postfach werden nicht gelesen“.
Was tun, wenn diese Mail im Postfach liegt?
Nicht anrufen. Keinen Fernzugriff gewähren. Keine Software installieren. Die Mail über die Phishing-Melden-Funktion im Mailprogramm melden und an die echte interne IT weiterleiten – über den Kanal, den man schon kennt, nicht über die Nummer aus der Mail. Wer unsicher ist, geht persönlich vorbei oder ruft die Nummer aus dem Firmen-Intranet an.
Und wer bereits angerufen hat, sofort Rechner vom Netz nehmen, echte IT informieren, alle Passwörter ändern, die man am Telefon genannt oder eingetippt hat, und die Bank informieren.
Die wichtigste Regel bleibt, seriöse IT ruft dich nicht über eine anonyme Hotline zur Eile auf. Betrüger schon.
