23.01.2024 - In der letzten Woche erhielt das BACS mehrere Meldungen bezüglich der Kleinanzeigenplattform Etsy. Dabei erhalten neue Verkäufer unmittelbar nach dem Anlegen eines Accounts eine vermeintlich von Etsy stammende Mitteilung, dass eine Zahlungsverifikation durchgeführt werden müsse, damit der Shop freigeschaltet werde. Bei dieser Nachricht handelt es sich jedoch um eine Phishing-Nachricht.
Die Verkaufsplattform Etsy ist eine im Jahr 2005 gegründete E-Commerce-Website bzw. ein Online-Marktplatz für den Kauf und Verkauf von handgemachten Produkten, Vintage und Künstlerbedarf. Etsy ist hierzulande weniger bekannt als andere Verkaufsplattformen. Deshalb wurden dem BACS bislang Angriffe in Zusammenhang mit dieser Plattform nur selten gemeldet.
Gerade in den letzten Wochen gab es jedoch mehrere Meldungen betreffend Etsy, die immer auf das gleiche Muster hindeuten. Dabei handelt es sich um einen besonders perfiden Phishing-Angriff, der nur schwer zu erkennen ist. Zudem werden nicht nur Kreditkartendaten abgephisht sondern das Opfer auch überlistet, einen Geldbetrag zu bezahlen.
Neue Verkäufer im Visier
Der Angriff richtet sich gegen neue Verkäufer, welche kürzlich einen Shop auf Etsy eröffnet haben. Die Angreifer haben einen Weg gefunden, diese Neukunden rasch ausfindig zu machen. In einem Test, den das BACS durchgeführt hat, lagen gerade einmal 30 Minuten zwischen der Eröffnung des Shops und der Kontaktaufnahme durch die Betrüger.
Das Perfide dieser Kontaktaufnahme ist, dass die Nachricht nicht per E-Mail, sondern über das interne Benachrichtigungssystem, dem Chat von Etsy, verschickt wird. Auf diese Weise wird versucht, das Vertrauen der neuen Verkäufer zu gewinnen. Die Betrüger wählen die Vor- und Nachnamen so aus, dass es den Anschein hat, die Nachricht stamme von einem internen Support oder einer Verifikationsstelle. So wurde im aktuellen Fall der Nachname «Verificativ» verwendet, aber auch der Nachname «Support» wurde bereits beobachtet. Dieser Name wird dann im Benachrichtigungssystem angezeigt und macht damit den Anschein, dass es sich um eine offizielle Anfrage des Supportteams handelt oder dass es sich um ein offizielles Verifizierungsverfahren des Zahlungsprozesses handelt.
Hinterlegung einer Kaution als Vorwand
In der weiteren Kommunikation wird dann behauptet, dass für die endgültige Eröffnung des Shops eine Überprüfung des zukünftigen Bezahlverfahrens notwendig sei. Zu diesem Zweck wird der Benutzer auf eine Seite umgeleitet, auf der er zur Eingabe seiner Kreditkartendaten aufgefordert wird, um eine Zahlung in Höhe von z. B. 1.000 USD auszulösen. Der angebliche Supporter versichert gleichzeitig über das interne Benachrichtigungssystem von Etsy, dass es sich bei der Kreditkartenzahlung nicht um eine Abbuchung handelt. Es handle sich lediglich um eine Kaution, wie man sie von der Autovermietung kennt. In diesem Fall würden die Zahlungen lediglich gesperrt, aber noch nicht abgebucht.
Nach dieser ersten «Reservierung» kommt dann umgehend eine zweite Aufforderung, nochmals eine Zahlung zu bestätigen. Diesmal, um diese 1.000 USD wieder zurück zu buchen. Tatsächlich wurden jedoch keine Zahlungen reserviert oder storniert, sondern insgesamt Zahlungen in der Höhe von 2.000 USD ausgelöst. Auf die Frage des Opfers, ob es nicht einen telefonischen Kontakt gäbe, um das Ganze zu besprechen, wurde geantwortet, dass ein telefonischer Kontakt erst nach dem Verifizierungsprozess genannt werden könne.
Bei dieser Variante wird die Gutgläubigkeit von Neukunden durch «Social Engineering» schamlos ausgenutzt. Neukunden haben in der Regel noch keine Kenntnisse über etwaige Prozesse des jeweiligen Dienstleisters. Zudem wird durch die Kontaktaufnahme über den internen Chat das Vertrauen des Opfers gestärkt.
Empfehlungen
- Auf Etsy werden E-Mails, die tatsächlich vom Support stammen, in der Kategorie «Von Etsy» angezeigt . So lässt sich erkennen, ob die Kommunikation legitim ist;
- Seien Sie vorsichtig bei der Zahlung angeblicher Gebühren;
- Lassen Sie sich nicht unter Druck setzen, sondern nehmen Sie sich die Zeit, die Zahlungsmodalitäten des betreffenden Dienstleisters zu überprüfen;
- Wenn Sie feststellen, dass Sie eine betrügerische Zahlung getätigt haben, wenden Sie sich umgehend an das betreffende Finanzinstitut, damit dieses die Zahlung gegebenenfalls noch blockieren kann;
- Wenn Sie einen finanziellen Schaden erlitten haben, erstatten Sie Anzeige bei der Kantonspolizei.
Aktuelle Zahlen und Statistiken
Die Anzahl Meldungen der letzten Woche nach Kategorien sind publiziert unter:
Letzte Änderung 23.01.2024
