Die Deutschen sind für ihre penible Bürokratie bekannt, im Rahmen derer Steuerzahler Ende Mai ihre Einkommensteuererklärung abgeben müssen. Von daher überrascht es nicht, dass Angreifer wie schon bei anderen besonderen Anlässen in diesem Jahr, darunter der EURO 2012 oder urlaubsbezogenem Spam, auch auf diesen Zug aufspringen.
Die Steuerzahler warten zurzeit auf ihre Steuerbescheide vom Finanzamt. Die gefakten E-Mails geben sich als offizielle Steuerbescheide aus und versprechen eine Steuerrückerstattung in Höhe von etwa 235 Euro. Wir konnten zwar auch Mails mit anderen Beträgen beobachten, das Schema bleibt an sich jedoch gleich.
Das äußere Erscheinungsbild dieser E-Mail ist zwar recht überzeugend, der Text ist jedoch voller Fehler, was höchstwahrscheinlich auf eine automatische Übersetzung zurückzuführen ist.
Die interessanteste Komponente ist das angehängten Antragsformulars für die Steuerrückerstattung, das ähnlich gestaltet ist wie die Website des Bundeszentralamts für Steuern.
Die in dieses Formular eingetragenen Daten werden an einen Remote-Server gesendet:
Der in dieser E-Mail verwendete, belgische Server existiert zwar noch, hat jedoch bislang auf keine unserer Anfragen geantwortet. Während unserer Analyse sind wir auf keinerlei Malware gestoßen.
Was kann passieren, wenn man alle verlangten Daten eingibt?
- Die Angreifer können die Bank- bzw. Kreditkartendaten für einen Kreditkartenbetrug missbrauchen oder einfach nur auf Kosten des Opfers Online-Käufe tätigen.
- Sie können die Daten verwenden, da sie mit Sicherheit wissen, dass diese gültig sind, und sie auf dem Untergrundmarkt verkaufen.
Was sollten Sie wissen und tun?
- Ignorieren Sie diese E-Mails und verschieben Sie sie in den Papierkorb.
- Für Steuerbescheide ist nicht das BZSt zuständig, sondern das jeweils zuständige Finanzamt.
- Wichtig: Staatliche Behörden wie das BZSt werden Sie hinsichtlich der Übermittlung solch wichtiger Informationen niemals in Form einer einfachen E-Mail kontaktieren.
- Deshalb sollten Sie persönliche Informationen und/oder Bankdaten niemals per E-Mail oder über dubiose Websites preisgeben.
- Verwenden Sie eine aktuelle, umfassende Sicherheitslösung mit Virenscanner, Firewall, HTTP-Scan und Echtzeitschutz. Ein Spam-Filter zur Abwehr von unerwünschten E-Mails ist ebenfalls ein Muss.