Update: Auch Kapo Zürich warnt vor Betrügereien mit angeblichem iCloud-Upgrade

Update vom 15.6.2023: Kurz nachdem das Nationale Zentrum für Cybersicherheit (NCSC) vor der aktuell laufenden Welle an Phishing-Mails gewarnt hat, schliesst sich auch die Kantonspolizei Zürich an. In ihrer Meldung geht sie besonders auf eine Betrugsmasche ein, bei der Cybergauner ein kostenloses Upgrade des iCloud-Speichers versprechen. In ihren Mails behaupten sie, der iCloud-Speicher sei voll und ohne das Upgrade würden Daten gelöscht. Die Website, auf die die Cyberkriminellen ihre Opfer sodann locken, ähnelt jener von Apple. Darauf sollen sie persönliche Daten eingeben. Schicken sie das Formular ab, "erscheint ein kleingedruckter Zusatztext, der darauf hinweist, dass man ein Abonnement abgeschlossen hat, bei dem alle 14 Tage automatisch CHF 63.38 abgebucht werden", wie die Kapo Zürich ausführt. Die Abogebühr wird im geschilderten Fall nicht via Kreditkarte, sondern per Handyrechnung eingezogen.

Der angezeigte Text strotzt vor Eigenheiten. So wird darin etwa ein 15-Franken-Gutschein versprochen, "mit dem Sie Produkte auf einer unserer Partner-Websites entdecken und kaufen können". Wer diese Partner sind, bleibt unklar. Ausserdem schreiben die Kriminellen zwar, das abgeschlossene Abo sei innert 30 Tagen kündbar, ohne aber auszuführen, wie man es effektiv kündigen kann.

Die Polizei rät einmal mehr, solche Mails zu ignorieren und nicht auf Links in Mails oder SMS-Nachrichten zu klicken, sondern nur über die offiziellen Websites von Diensten auf deren Login-Funktion zuzugreifen. Weiter mahnt sie: "Geben Sie nie sensible Daten von sich preis, wenn Sie vorgängig keine gründlichen Abklärungen getätigt haben".

Wer dies bereits getan und ein solches Abo abgeschlossen hat, dem empfiehlt die Polizei folgendes:

• Fechten Sie Ihre Telefonrechnung bei Ihrem Provider an (schriftlich)
• Melden Sie den Sachverhalt dem Bundesamt für Kommunikation, per Mail unter TP-ND@bakom.admin.ch
• Informieren Sie sich bei der Schlichtungsstelle auf der Website de.ombudscom.ch.

Originalmeldung vom 14.6.2023: Betrüger locken mit perfider Masche in die Abofalle

Gefälschte Paket-Benachrichtigungen mit gefährlichen Links gehören inzwischen zum Alltag. Häufig heisst es, dass ein Paket am Zoll festgehalten und nur gegen Bezahlung einer kleinen Gebühr an den angeblichen Adressaten verschickt werde. Tatsächlich handelt es sich in solchen Fällen in der Regel um Phishing-Versuche – das Nationale Zentrum für Cybersicherheit (NCSC) bekommt regelmässig entsprechende Hinweise aus der Bevölkerung. 

Doch in den vergangenen Wochen häuften sich Meldungen solcher Benachrichtigungen, hinter denen nicht nur simple Phishing-Versuche stecken. Stattdessen wollen dubiose Geschäftemacher die Empfänger und Empfängerinnen dazu verleiten, unbewusst ein kostenpflichtiges Abonnement abzuschliessen, wie das NCSC mitteilt. 

In den entsprechenden E-Mails verlangen die Absender eine Gebühr von 1.99 Franken. Nach dem Klick auf den Link erscheinen zunächst ein paar Fragen zur vermeintlichen Lieferung. Was man hier eingibt, spielt allerdings keine Rolle. Denn schliesslich lande man immer auf einer Seite mit der Aufforderung, Kreditkartendaten einzugeben. 

Perfider als Phishing

Im Gegensatz zu klassischen Phishing-Versuchen, bei dem die Angreifer die Kreditkartendaten stehlen und anschliessend im Darkweb verkaufen wollen, sei die Vorgehensweise bei den nun häufiger beobachteten Fällen viel perfider, schreibt das NCSC. Denn die Betrüger würden versuchen, sich mit diversen Tricks in eine gesetzliche Grauzone zu mogeln und dem ganzen Ablauf einen legitimen Charakter zu geben, sodass Sicherheitsbehörden und Provider die Seiten nicht einfach deaktivieren können.

Bei genauerer Betrachtung der Webseite könne man feststellen, dass der obere Teil nicht vollständig angezeigt werde. Die Scrollbar auf der rechten Seite zeigt, dass sich oben auf der Seite noch etwas verbirgt, wie das NCSC ausführt. Die Betrüger hätten die Seite extra so präpariert, dass dieser Teil aus dem Sichtfeld der User falle. 

Beim Öffnen der Seite ist der oberste Teil nicht sichtbar – erkennbar ist dies an der Scrollbar, die zeigt, dass die Seite nicht ganz oben ist. (Source: NCSC)

In diesem verbogenen Abschnitt werde in sehr kleiner Schrift darauf hingewiesen, worum es sich in Wirklichkeit handle: Mit dem Absenden der Daten bestätigt man eine Mitgliedschaft bei einem nicht näher beschriebenen Dienst, die sich nach einer dreitägigen Testphase automatisch in ein kostenpflichtiges Abonnement umwandelt. Die Mitgliedschaftsgebühr, in diesem Fall 65 Franken, wird zweimal im Monat automatisch von der Kreditkarte abgebucht. Das Opfer merkt wohl frühestens am Ende des Monats, dass die Beträge auf der Kreditkarte belastet wurden. In den meisten Fällen wurden bis dahin bereits zwei Mitgliedschaftsbeträge abgezogen.

Scrollt man auf der Seite nach ganz oben, kommt in sehr kleinen Buchstaben ein Hinweis auf ein kostenpflichtiges Abonnement. (Source: NCSC)

Versteckspiel mit den AGBs

Auch bei einer zweiten Variante, die dem NCSC vergangene Woche gemeldet wurde, denkt man im ersten Moment an einen Phishing-Versuch. Im Gegensatz zur oben beschriebenen Masche fällt aber auf, dass in diesem Fall Allgemeine Geschäftsbedingungen (AGB) akzeptiert werden müssen und eine Checkbox angekreuzt werden soll. 

Die Betreiber spekulieren, dass niemand die AGBs wirklich durchliest und diese auf gut Glück akzeptiert werden. Öffnet man diese, findet man allerdings detailliert aufgelistet die länderspezifischen Kosten eines monatlichen Abonnements, welches automatisch abgeschlossen wird, wenn man die AGBs akzeptiert. Für die Schweiz belaufen sich die monatlichen Kosten auf 52.35 Franken. Die bekannten 1.99 Franken sind die Kosten für die Testphase.

In den angeblichen AGBs versteckt sich das Preismodell. (Source: NCSC)

Ähnliche Maschen mit vermeintlichem Cloud-Speicher

Solche Abofallen stellen die Betrüger allerdings nicht nur über gefälschte Paketbenachrichtigungen. Auch Variationen sind im Umlauf. In der neuesten Variante wird dem Empfänger vorgegaukelt, dass sein iCloud-Speicher die maximale Limite erreicht habe und er deshalb keine Dateien mehr speichern könne. Es gebe aber momentan die Chance eines Promotionsangebots, in dessen Rahmen zusätzliche 50 Gigabyte an Speicher zur Verfügung stünden. Zur Verifikation der Apple ID müsse man auf der nachfolgenden Webseite die Kreditkartendaten eingeben. 

Auch hier wird das Opfer dann dazu verleitet, in eine Abofalle zu tappen. Auf der entsprechenden Webseite verweist das Kleingedruckte auf eine monatliche Kreditkarten-Abbuchung.

Eine Meldung, wonach der iCloud-Speicher angeblich voll sei, man aber 50 GB Speicher kostenlos erhalten könne. (Source: NCSC) 

Grauzone erschwert den Behörden das Vorgehen

Die Betreiber solcher Dienste befinden sich laut NCSC in einer gesetzlichen Grauzone. Dies erschwere es den Sicherheitsbehörden, gegen solche Webseiten vorzugehen und diese zu deaktivieren. Im Gegensatz zu Phishing-Seiten, für die der Prozess klar geregelt sei, müsse man in solchen Fällen abklären, inwiefern der Hinweis auf ein kostenpflichtiges Abonnement klar genug und genügend gross angezeigt werde. In jedem Fall dauere der Prozess länger als bei Phishing-Seiten.

Das NCSC empfiehlt: 

• Melden Sie sich umgehend bei Ihrem Kreditkartendienstleister, wenn Sie Ihre Kreditkartendaten angegeben haben;
• Kontrollieren Sie Ihre Transaktionen auf der Kreditkarte regelmässig. So können Sie bei missbräuchlichen Überweisungen umgehend bei Ihrem Kreditkarteninstitut intervenieren;
• Seien Sie vorsichtig bei angeblichen Paketbenachrichtigungen;
• Seien Sie besonders vorsichtig, wenn Sie für Gratisangebote Ihre Kreditkartendaten angeben sollen. 

Zu Abofallen im Internet hat das Staatsekretariat für Wirtschaft (SECO) einen Artikel und ein entsprechendes Merkblatt (PDF) publiziert.

Übrigens: Auffällig viele Tippfehler in einer Nachricht sind heutzutage leider kein hinreichender Hinweis mehr, um Phishing-Versuche zu enttarnen. Woran man Phishing dennoch zuverlässig erkennen kann, erfahren Sie im Hintergrundbericht: "Wie Sie Phishing erkennen". 

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.