Betrug mit echten Rechnungen und geänderter Kontonummer

Der bekannteste Rechnungsbetrug ist der übliche: Sie erhalten eine Rechnung für einen Dienst, den Sie nicht bestellt haben, mit einem Zahlungslink oder einer Bankverbindung. Er ist leicht zu erkennen, weil niemand diese Rechnung erwartet.

Dieser hier ist viel gefährlicher: Sie erhalten eine Rechnung, die Sie tatsächlich erwarten, von einem echten Lieferanten, innerhalb einer echten Unterhaltung, mit dem richtigen Betrag. Das Einzige, was sich ändert, ist die Kontonummer, die der Angreifer im PDF oder im Text der E-Mail durch seine eigene ersetzt hat.

Sie zahlen ganz normal. Tage später mahnt der Lieferant die Zahlung an, und er hat recht: Das Geld ist auf dem Konto des Angreifers gelandet. Dieses Konto kann im Ausland liegen oder das spanische Konto eines anderen Opfers sein, das als Brücke dient, um das Geld danach abzuziehen.

Wie sie vorgehen

Das Ziel ist immer dasselbe, die Bankdaten zu ändern, aber es gibt mehrere Wege dorthin:

• Versteckte Regeln im Postfach des Empfängers. Das ist der häufigste Weg, den wir sehen. Der Angreifer dringt in Ihr E-Mail-Konto ein und legt eine Regel an, die Nachrichten mit Wörtern wie „Rechnung“, „Zahlung“, „Quittung“ oder „IBAN“ abfängt. Die Regel leitet sie weiter oder legt sie beiseite, der Angreifer ändert die Bankdaten und legt die Nachricht wieder in Ihren Posteingang, als wäre nichts gewesen. Sie bemerken nichts Ungewöhnliches.
• Kompromittiertes Postfach des Absenders oder Empfängers. Mit dem Passwort eines der beiden Konten liest der Angreifer die Unterhaltungen und schickt im richtigen Moment veränderte Rechnungen, von der echten Adresse aus.
• Ähnliche Domain. Der Angreifer antwortet von einer fast identischen Adresse: Er ersetzt ein „m“ durch „rn“ (proveedor.com → proveedor.corn), fügt einen Buchstaben hinzu oder verwendet eine andere Endung (.net statt .com). Auf den ersten Blick wirkt es wie derselbe Verlauf.
• Virus auf dem Computer. Ein Trojaner auf dem Gerät, auf dem Outlook oder ein anderes E-Mail-Programm läuft, kann gesendete oder empfangene Nachrichten verändern.

Dass die IBAN geändert ist, sagt allein noch nicht, welche der beiden Seiten kompromittiert wurde. Beide müssen prüfen.

Bevor Sie eine Rechnung bezahlen

• Vergleichen Sie das Konto mit dem früherer Zahlungen. Wenn es abweicht oder es die erste Zahlung ist, zahlen Sie erst, wenn es bestätigt ist.
• Bestätigen Sie die Änderung telefonisch, unter der Nummer des Lieferanten, die Sie bereits hatten. Verwenden Sie nicht die Telefonnummer oder den Link aus derselben E-Mail.
• Misstrauen Sie Eile. „Wir haben die Bank gewechselt“, „das bisherige Konto ist gesperrt“ oder „zahlen Sie heute, um Gebühren zu vermeiden“ sind die üblichen Sätze.
• Verlangen Sie eine elektronisch signierte Rechnung und prüfen Sie sie mit VALIDe, dem Signaturprüfer der spanischen Regierung. Wenn jemand die Datei nach dem Signieren verändert hat, ist die Signatur nicht mehr gültig.
• Verlangen Sie eine Bestätigung der Kontoinhaberschaft, ausgestellt von der Bank des Lieferanten. Achtung: Wenn sie als Anhang derselben verdächtigen E-Mail kommt, kann auch sie gefälscht sein; bestätigen Sie sie trotzdem telefonisch.
• In einem Unternehmen sollte die Person, die eine Kontoänderung annimmt, nicht dieselbe sein, die die Zahlung freigibt.

Wenn Sie bereits bezahlt haben

1. Rufen Sie sofort Ihre Bank an und bitten Sie darum, die Überweisung möglichst zurückzuhalten oder zurückzuholen. Je früher Sie das tun, desto größer sind die Chancen; nicht immer gelingt es.
2. Sichern Sie die Beweise: die ursprüngliche E-Mail (keinen Screenshot, sondern die vollständige Nachricht mit ihren Headern), das erhaltene PDF, den Überweisungsbeleg und die Daten.
3. Benachrichtigen Sie den Lieferanten telefonisch, damit er ebenfalls seine Konten prüft.
4. Erstatten Sie Anzeige bei der Polizei (in Spanien bei der Policía Nacional oder der Guardia Civil) mit diesen Beweisen. Beratung erhalten Sie unter der 017, der Hilfe-Hotline für Cybersicherheit von INCIBE.

Ihr E-Mail-Konto prüfen

Wenn Sie vermuten, dass Ihr Postfach kompromittiert ist, prüfen Sie Folgendes von einem Computer aus, von dem Sie wissen, dass er sauber ist:

1. Filter der E-Mail-Konten. Gehen Sie in cPanel zu E-Mail-Filter, klicken Sie bei jedem Postfach auf Filter verwalten und suchen Sie nach Regeln, die Sie nicht angelegt haben: solche, die nach „Rechnung“, „Zahlung“ oder „Überweisung“ suchen oder Nachrichten weiterleiten, in seltsame Ordner verschieben oder verwerfen. So verwalten Sie sie: E-Mail-Filter in cPanel.
2. Globale Filter. Die Filter unter Globale E-Mail-Filter gelten für alle Konten des Hostings. Prüfen Sie sie ebenfalls.
3. Weiterleitungen. Prüfen Sie unter Weiterleitungen, dass keine Adresse Ihre E-Mails in ein externes Postfach kopiert.
4. Regeln des E-Mail-Programms. Wenn Sie Outlook, Thunderbird, Gmail oder einen anderen Client verwenden, prüfen Sie auch dessen Regeln: Sie erscheinen nicht in cPanel.
5. Ordner Gesendet und Papierkorb. Suchen Sie nach Nachrichten, die Sie nicht gesendet haben, oder Antworten, die Sie nicht gesehen haben.
6. Ändern Sie die Passwörter der E-Mail-Konten und von cPanel in neue, zufällige Passwörter, die Sie nirgendwo sonst verwenden. Das Ändern des Passworts löscht die Regeln nicht: Entfernen Sie sie von Hand.
7. Aktivieren Sie die Bestätigung in zwei Schritten im Webmail und im Kundenbereich.
8. Scannen Sie mit einem Virenschutzprogramm die Computer und Handys, auf denen Sie Ihre E-Mails lesen.

Wenn Ihr E-Mail-Konto bei Hostsuar liegt, eröffnen Sie ein Ticket mit den betroffenen Adressen und den ungefähren Daten: Wir prüfen die protokollierten Anmeldungen (IP, Uhrzeiten, Herkunft) und geben Ihnen die Informationen für die Anzeige. Schicken Sie uns niemals Passwörter.

In der Anleitung, wie Passwörter gestohlen werden, finden Sie die häufigsten Wege und wie Sie jedem vorbeugen. INCIBE hat außerdem einen Leitfaden zum Betrug mit kompromittierten Firmen-E-Mail-Konten.