Hauptinhalt

Geschenkkarten-Betrug

Was versteht man unter Geschenkkarten-Betrug?

Die hier beschriebene betrügerische Methode zeichnet sich dadurch aus, dass die potenziellen Opfer dazu überredet werden, Geschenkkarten zu erwerben und die Codes den Betrügern zur Verfügung zu stellen. Die Vorgehensweise der Angreifer basiert auf Techniken des Social Engineerings. Beim Social Engineering ist nicht das technische Gerät, wie etwa der Rechner oder das Smartphone, das Angriffsziel, sondern die Person, die dieses Gerät nutzt. Darüber hinaus erfreut sich der Betrug mit Geschenkarten hoher Popularität, die Gründe dafür sind eindeutig:

• Geschenkkarten sind Anonym und können somit von jenen, die den Code kennen, genutzt werden
• Diese sind nach der Übergabe schwer zurückzuverfolgen 
• Schnelle und leichte Aktivierung der Codes

Aufgrund der hohen Beliebtheit gibt es eine Vielzahl von Szenarien, in denen die Angreifer versuchen, ihre Opfer zu täuschen. Die folgenden Szenarien sind am wahrscheinlichsten:

1. Phishing E-Mails 
2. Telefonanrufe
3. SMS / Messenger-Nachrichten
4. Gefälschte Gewinnspiele auf sozialen Medien oder Websites
5. vermeintliche Support-Mitarbeiter 

Beispiel - Wie ein Betrug ablaufen kann (Spear Phishing):

Zu den erschreckendsten Aspekten von Social-Engineering-Methoden gehört die gezielte Suche der Angreifer nach Schwachstellen in den Lebensläufen ihrer Opfer. Dies erfolgt unter Zuhilfenahme gefälschter Identitäten, die jedoch als echt wahrgenommen werden sollen. Die Angreifer ermitteln so beispielsweise die Vorgesetzten der Opfer und nutzen diese Informationen für ihre Zwecke aus - so auch in diesem Beispiel.

• Inhalt ausklappen Inhalt einklappen 1. Informationsbeschaffung

  

  Der Austausch begann mit einer normalen Unterhaltung zwischen einem Angestellten einer Universität und einem Studierenden. Darin wurde dem Betroffenen - "Müller" (Name geändert) - mitgeteilt, dass der Professor diese sowie nächste Woche zur Verfügung steht.

• Inhalt ausklappen Inhalt einklappen 2. Angriff

  

  Diese E-Mail wurde von dem Angreifer abgefangen und anschließend schamlos ausgenutzt. Nach recht kurzer Zeit meldete sich der Angreifer  unter der gestohlenen Identität "Incogni" des zu in Rate gezogenen Professors. 

  Erkennbare Auffälligkeiten:
  - Es erfolgt keine Anrede.
  - Der Betreff ist sehr kurz gehalten und enthält keine weiteren Informationen.
  - Der Inhalt ist begrenzt.
  - Der Inhalt zielt direkt auf Sie ab und nicht auf den Handlungsgegenstand.
  - Der Angreifer versucht, möglichst viel Raum zu schaffen, damit er keine ungewollten Grenzen überschreitet, und dennoch das Interesse des Gegenübers zu wecken.

  Was kann ich an diesen Punkt tun?
  Um sich im beruflichen, privaten oder studentischen Kontext zu schützen, ist es ratsam, bei Unsicherheiten alternative Kontaktwege zu nutzen, wie Telefon oder persönliche Treffen. Es empfiehlt sich, die E-Mail-Adresse sorgfältig zu prüfen und mit den offiziellen Daten abzugleichen. Zudem ist es sinnvoll, die Person um eine Verifizierung zu bitten.

• Inhalt ausklappen Inhalt einklappen 3. Austausch

  

  Der Austausch wurde fortgesetzt. Müller teilte mit, dass er ab 13:30 Uhr nicht mehr unterwegs sei und in Marburg ankomme. Er erkundigte sich, ob der vermeintliche Professor am selbigen Tag noch Zeit hat.

  Hinweis:
  Es ist wichtig, Vorsicht walten zu lassen, wenn eine Person auf eine Frage nicht eingeht oder diese nicht in der erwarteten Weise beantwortet. In solchen Fällen ist es ratsam, die Situation mit der gebotenen Sorgfalt zu prüfen und gegebenenfalls weitere Maßnahmen zu ergreifen.

• Inhalt ausklappen Inhalt einklappen 4. Schmeichelung

  

  Die Anrede erscheint erst, nachdem eine Antwort gegeben wurde. Ein gängiger Ansatz von Angreifern ist die höfliche, aber aufdringliche Herangehensweise, um ihre Wünsche zu erfüllen. Sie präsentieren sich als äußerst beschäftigt und setzen auf die Höflichkeit ihres Gegenübers. Dabei nutzen sie häufig auch Machtverhältnisse aus, in diesem Fall gibt sich der Angreifer als Professor aus. In dieser Situation stehen die betroffenen Personen natürlich unter Druck. Denn die Situation suggeriert: Sollte man die Anforderung nicht erfüllen, kann dies zu Konsequenzen für ihr Studium oder ihre Arbeit führen. 

• Inhalt ausklappen Inhalt einklappen 5. Rückmeldung

  

  An dieser Stelle wurde die Forderung des Betrügers von der betreffenden Person bestätigt.

• Inhalt ausklappen Inhalt einklappen 6. Spezifizierung

  

  Etwa drei Minuten später erhält Herr Müller eine Rückmeldung. Die Aufforderung an ihn lautet, vier Karten im Gesamtwert von jeweils 100 Euro zu erwerben und Incogni zur Verfügung zu stellen. Um weitere Beschaffungsprobleme zu umgehen, gibt der Betrüger selbstverständlich den Gesamtwert mit 400 € an. Zudem fügt er eine präzisen Anleitung an, die Müller erklärt, wie er die Daten der Geschenkkarte übermitteln soll. Natürlich so, dass der Betrüger damit so anonym wie möglich davon kommen kann. Um die Attacke abzurunden und noch mehr Druck zu erzeugen, wird vom Betrüger direkt nachgefragt, wann die Bilder zugeschickt werden können.

• Inhalt ausklappen Inhalt einklappen 7. Druckaufbau

  

  Ohne eine Reaktion seitens Müllers versendet der Angreifer innerhalb von 20 Minuten eine weitere E-Mail. Diese dient dem weiteren Druckaufbau. Die Abkürzung "ASAP" steht für "as fast as possible", zu Deutsch "so schnell wie möglich".

• Inhalt ausklappen Inhalt einklappen 8. Betrugserfolg

  

  Darauffolgend wurde dem Betrüger die Daten der Gutscheinkarten sowie Müllers Bankverbindung übermittelt. Der initiale Diebstahl ist ab diesem Zeitpunkt abgeschlossen, doch damit sind die Angreifer meistens nicht zufrieden. Wurde ein Opfer gefunden, wird versucht, diesem so viel Geld wie möglich abzuziehen.

• Inhalt ausklappen Inhalt einklappen 9. Betrugsfalle

  

  So wird direkt die nächste Anfrage gestellt. Nun auch mit noch höheren Ansprüchen. Die angeforderte Summe hat sich von 400 Euro auf 600 Euro erhöht. Die Vorgehensweise bleibt die selbe: Höflich und schleimend, dich zu manipulieren.

• Inhalt ausklappen Inhalt einklappen 10. Wiederholung

  

  Wiederholung von Schritt 7: Taktik – Druck machen, um die Person zum Handeln zu bewegen.

  Daraufhin endete der Austausch.

Wie kann man sich davor schützen?

Warnsignale

• Die Endung der E-Mail-Absenderadresse, wie hier bspw. "desklistme@inbox.ru"
• Ungefragte Nachrichten oder Anrufe die zu schnellem Handeln auffordern
• Aufforderung/en Geschenkkarten zu kaufen oder Codes herauszugeben
• Wenn Organisationen Zahlungsmethoden verlangen, welche diese normalerweise nicht anbieten 

Schutzmaßnahmen

• Ruhe bewahren und sich Zeit zum Nachdenken nehmen
• E-Mail fungiert asynchron als Kommunikationsmedium, sollte die Person etwas dringend von Ihnen benötigen, dann rufen Sie die Person an -> Kontakte immer verifizieren
• Gehen sie sparsam mit privaten sowie beruflichen Daten um
• Angreifer/innen fälschen in der Regel ihre Absenderadresse, deshalb: Schauen Sie genau hin, von wem die E-Mail wirklich kommt.
• IT-Sicherheitsschulung

Beim Schutz vor Social Engineering (u. a. Geschenkkarten-Betrug) liegt es vor allem an Ihnen, denn Sie sind das Angriffsziel. Weitere Schutzmaßnahmen finden sie unter: Social Engineering

Downloaden Sie unser Cheat Sheet zum Thema Phishing-Mails erkennen

• Cheat Sheet: Phishing-Mails erkennen (PDF)

Wenn das Kind in den Brunnen fällt ...

In stressigen Situationen oder bei gut gemachten Phishing-Mails kann es passieren, dass wir den Angreifer/innen ins Netz gehen. Wichtig ist dann, dass wir richtig und schnell reagieren um größere Schäden zu verhindern. Deshalb:

Hilfeseiten von Anbieter:

• Apple
• Google
• Amazon