Uncle Sam entschädigt Sie für Datenlecks (von wegen)

Datenlecks aller Art tauchen regelmäßig in den Nachrichten auf, und in jüngster Zeit wurden die Verantwortlichen mit Bußgeldern belegt, die zum Teil bis in die Milliardenhöhe gehen können. Wenn Unternehmen für Datenlecks zahlen müssen, geht doch ein Teil des Geldes an die Opfer, oder?

Überraschung von der US-Handelskommission

Kürzlich ist uns eine merkwürdige Seite ins Auge gefallen, die sich scheinbar im Besitz eines bestimmten Fonds zum Schutz personenbezogener Daten befindet. Auf der Startseite dieser Website wird angegeben, dass der Fonds von der „US-Trading Commission“ (dt. US-Handelskommission) ins Leben gerufen wurde.

Auf den ersten Blick sieht die Seite einigermaßen solide aus, mit einem eher zurückhaltenden Design, das auf der rechten Seite eine deftige Summe zeigt. Ein großes Banner oben auf der Seite weist darauf hin, dass der Fonds eine Entschädigung für die Weitergabe personenbezogener Daten gewährt, die Betroffene aller Länder der Welt beantragen können.

Für alle Interessenten bietet die Seite Ihnen die Möglichkeit zu überprüfen, ob Ihre Daten jemals durchgesickert sind. Dazu müssen Sie lediglich Ihren Vor- und Zunamen, Ihre Telefonnummer sowie Social-Media-Konten angeben. Über dem Eingabeformular prangert darüber hinaus ein Hinweis, dass die Eingabe der Daten anderer Personen eine schwerwiegende Straftat darstellt und rechtlich verfolgt wird.

Jedoch hat sich herausgestellt, dass die Webseite alle Informationen akzeptiert, auch, wenn es sich dabei um absoluten Kauderwelsch handelt. Zum Beispiel haben wir uns nach den persönlichen Daten eines Bürgers namens fghfgh fghfgh erkundigt. Die Seite verarbeitete die Daten eine Weile und schien eine Verbindung zu einer Datenbank mit Informationen über Datenlecks herzustellen …

… und siehe da, tatsächlich wurden Daten unserer fiktiven Figur mit einem unaussprechlichen Namen geleakt. Zudem stellte sich heraus, dass jemand bereits seine oder ihre Fotos, Videos und Kontaktinformationen verwendet hatte und fghfgh somit Anspruch auf eine Entschädigung von mehr als 2.500 USD hatte!

Kaufen Sie eine temporäre Sozialversicherungsnummer

Man könnte meinen, es würde ausreichen, eine Bankkartennummer anzugeben und auf die Gutschrift der Zahlung zu warten. Nicht ganz. Der gemeinnützige Fonds kann ohne die US-Sozialversicherungsnummer kein Geld überweisen. Diese US-Sozialversicherungsnummer ist eine neunstellige Nummer, die US-Bürgern sowie Bürgern mit einer Niederlassungserlaubnis oder mit einem temporärem Arbeitsvisum ausgestellt wird.

Diese eindeutige Nummer wird in den USA für so gut wie alle Formalitäten benötigt: Steuererklärungen, Jobbewerbungen, Mietverträge usw.

Doch selbst wenn Sie noch keine Sozialversicherungsnummer haben, müssen Sie sich keine Sorgen machen: Sie können einfach das Kontrollkästchen neben der Zeile „Ich bin nicht habe keine SSN“ aktivieren (Grammatik scheint nicht die Stärke der Betrüger zu sein).

Auch wenn man keine Sozialversicherungsnummer hat, bietet die Seite eine temporäre Nummer zum Verkauf an! Im Vergleich zu dem Betrag der lukrativen Entschädigung, ist der 9-Dollar-Preis eine Kleinigkeit.

Beim Versuch die Überweisung ohne den Kauf einer Sozialversicherungsnummer abzuschließen, zeigt die Seite einen Fehler an und fordert eine temporäre Nummer an. Und wenn Sie zufällig eine gültige Sozialversicherungsnummer in das betrügerische Formular eingeben, werden Sie dennoch gebeten, eine temporäre zu kaufen.

Diejenigen, die sich für den Kauf einer temporären Sozialversicherungsnummer entscheiden, werden zu einem Zahlungsformular weitergeleitet. Wenn Sie dies von einer russischen IP-Adresse aus tun, erscheint dieses Zahlungsformular in russischer Sprache und der Kaufpreis wird in Rubel angegeben. Komisch. Warum würde eine US-Regierungsbehörde die Zahlung in einer Fremdwährung verlangen?

Einwohner anderer Länder werden wahrscheinlich zu einem weniger verdächtigen englischsprachigen Formular umgeleitet, das die Zahlung in Dollar verlangt.

Werden russische Online-Betrüger international?

Hierbei handelt es sich selbstverständlich um Betrug. Der US-Fonds zum Schutz personenbezogener Daten existiert nicht und die US-Handelskommission auch nicht, wie Sie vielleicht vermutet haben. Der Name der wirklichen Organisation, die die Betrüger anscheinend zu verkörpern versuchen, lautet Federal Trade Commission (dt. Bundeskomission für Handel). Die FTC verteilt jedoch keine wahllosen Entschädigungen.

Die Betrüger selbst sprechen höchstwahrscheinlich Russisch, wie es das Rubelzahlungsformular andeutet, sowie die verdächtige Ähnlichkeit des Systems mit anderen „Einfaches Geld“-Betrugsmaschen, die regelmäßig die Bewohner Russlands und der GUS in Versuchung bringen.

Die virtuellen Köder in diesen Systemen variieren – Werbegeschenke, Umfragen, geheime Altersvorsorge, sogar eine Teilzeitbeschäftigung als Taxidienstleister– aber sie sind in der Regel in russischer Sprache (wie einige der vorhergehenden Links), und das Endergebnis ist immer das Gleiche: Das attraktive Versprechen, einiges an einfachem Geld zu verdienen, gefolgt von der Aufforderung, für eine kostengünstige Dienstleistung zu zahlen, sei es eine Provision oder eben eine temporäre Sozialversicherungsnummer.

Das vorliegende System verwendet dieselben Zahlungssysteme wie die vorherigen. Auch dies hinterlässt eine bekannte Spur russischer Internetkriminalität. Der einzige Unterschied zum Entschädigungsbetrug ist das größere, geografische Ausmaß des Angriffs. Diesmal befanden sich die Opfer beispielsweise nicht nur in Russland und den Nachbarländern, sondern auch in Algerien, Ägypten, den Vereinigten Arabischen Emiraten und anderswo.

Wie vermeidet man die Falle?

Solche Betrügereien richten sich an hoffnungsvolle Opfer, die ein solches Angebot nicht für verdächtig halten würden. Deshalb ist unser Tipp, immer wachsam zu bleiben:

• Kein Vertrauen schenken. Wenn jemand eine hohe Geldauszahlung für etwas so Triviales wie die Teilnahme an einer Umfrage verspricht, ist dies mit ziemlicher Sicherheit ein Trick. Und wenn Sie aufgefordert werden, etwas zu bezahlen, um das Geld zu bekommen, können Sie doppelt sicher sein, dass man Sie übers Ohr hauen möchte ist.
• Überprüfungen anstellen. Googlen Sie die Organisation, um zu sehen, ob sie tatsächlich existiert, und wenn dies der Fall ist, werfen Sie einen genauen Blick auf die Website. Achten Sie auf die Sprache: Eine seriöse Organisation veröffentlicht keinen Text voller Fehler und Tippfehler.
• Verwenden Sie vertrauenswürdige Ressourcen. Wenn Sie sich Sorgen über die Sicherheit Ihrer Daten machen, insbesondere über Kennwörter, können Sie unter der Seite haveibeenpwned.com überprüfen, ob ein Leck tatsächlich aufgetreten ist . Diese Suchressource für Datenschutzverletzungen wurde vom Infosec-Experten Troy Hunt erstellt und bietet die aktuellsten Informationen zu Datenlecks.
• Schützen Sie sich. Verwenden Sie eine zuverlässige Virenschutzlösung zum Schutz vor Phishing und Online-Betrug, z. B. Kaspersky Plus.