Paypal-Phising-Spam über DUS.NET-Kontaktdaten - Hat DUS.NET ein Sicherheitsproblem?

[SnoopyDog]

Au wei... Gibt's hier auch eine Ignore Liste? Edit: Yepp

 

[woprr]

Au wei... Gibt's hier auch eine Ignore Liste? Edit: Yepp

Ja. Genau diesen Umgang mit DECT- Sicherheit kennen wir von der Niederlassung eines gewissen Konzerns in Erlangen.

Weiterhin: Das Internet wird NIEMALS sicher sein! Wer das glaubt, der träumt.

Klar, mit Euren M$- Servern sicher nicht, und wenn Ihr ne Million im Jahr für den "Premier Support" zahlt.

 

[fva]

Bloß daß dann jemand sich darüber beschwert, daß "erst" 8 Stunden später eine offizielle Stellungnahme kommt, finde ich nicht so doll. Manche schaffen es erst 2 Jahre später und haben zuvor auf einen Mantel des Schweigens gehofft (den es niemals gibt/geben wird).

Was spricht dagegen, die Kunden so früh wie möglich über einen solchen Vorfall zu informieren? Es geht ja nicht darum, gleich mit der ersten Erklärung den gesamten Vorfall aufzuklären, wenn man noch gar nicht genau untersuchen konnte, was nun passiert ist. Wenn aber bereits klar ist, dass Daten abhanden gekommen sind und missbraucht werden, wünsche ich mir als Betroffener, sofort informiert zu werden. Wie man an diesem Fall sehr schön sieht, zählt hier jede Stunde, da die Phishing-Mails ja offenbar direkt nach Erhalt der Daten versendet wurden.

 

[woprr]

Was spricht dagegen, die Kunden so früh wie möglich über einen solchen Vorfall zu informieren?

Nichts. Find ich ja auch gut.

Allerdings hat man sich mit dem Versenden von Mails von Servern die man in diesen Mails als kompromittiert erklärt doch den Ast abgesägt auf dem man sitzt oder nicht ^^ ? Und "so früh wie möglich" wars auch nicht.

Na, ich geh mal davon aus dass die Grosskunden Papierbriefe bekommen.

Jeden Monat wird alles was längst gemailt werden könnte immer noch stapelweise per Brief verschickt aber wenns mal nen Grund gibt für nen Brief dann kommts per Mail...

 

[Rohrnetzmeister]

Hmm... es wird immer besser um 21:50 Uhr die Mail von Dus.net und um 23:52 Uhr die Mail von Paypal. Nur habe ich dort nie mit Paypal bezahlt. Schöne Sicherheitslücke ist dort vorhanden.

 

[woprr]

Schöne Sicherheitslücke ist dort vorhanden.

Magste die Header mal anonymisiert hier posten?

Wenn Ihr Euch schon Arbeit macht, PayPal hätte die Mails gerne -als Anhang- nicht inline, weitergeleitet an [email protected]

Was mache ich, wenn ich eine verdächtige E-Mail erhalten habe?
Bitte leiten Sie die erhaltene E-Mail unverändert (bitte auch die Betreffzeile nicht abändern) an unsere E-Mail-Adresse [email protected] weiter. [...]

Zu beachten: Sie erhalten eine englische Bestätigungs-E-Mail von uns.

Der Text der Mail sollte den User allerdings aufmerksam werden lassen. Die Formulierung "Bitte helfen Sie uns dabei, Ihr PayPal-Konto wieder in Ordnung zu bringen." spricht nicht für eine geschäftliche Mail.

Ich fürchte doch. Das ist genau die Sprache des modernen "IT- Customer Care" (Wenn er das nicht kopiert hat dann ist der Autor ein Profi darin, Kunden zur kostenlosen Arbeit an eigenen Produkten und Dienstleistungen einzuspannen, und das lernt man nicht auf der Hauptschule, noch nichtmal an vielen Unis oder gar in der "Szene", und hat Phishing deshalb nicht hauptberuflich nötig), und das zieht den Verdacht für mich von den üblichen Verdächtigen, die dieser Sprache nicht mächtig sind weil die solche Ausbilder/Berater nie hatten, weg und auf Wettbewerber von dus.net als Täter oder Auftraggeber. Au-Au. Wie's für mich aussieht hats dann jemand ganz schwer auf die Firma abgesehen.

Auf die Ermittlungen darf man gespannt sein.

Ich denke die Bundesnetzagentur und der Landesdatenschutzbeauftragte NRW sollte über den Vorfall schnellstmöglich informiert werden.

Und was sollen die damit? Der Fall liegt unter Strafrecht würd ich sagen. Aber wir können ja Andre fragen.

Für weitaus plausibler halte ich folgende Möglichkeiten:
- dus.net verkauft die Daten zu Werbezwecken, der Absender der Emails hat diese direkt oder indirekt bekommen.

Ah, das meint er. Nein, das macht kein seriöser TK- provider. Das trauen sich nichtmal die ganz grossen mit ihren Staranwälten.

 

[gbecker]

Hallo,

hier auch zwei Paypal Mails für zwei verschiedene Accounts bei Dus.net.
Haben uns seit Januar nicht mehr bei Dus.net in den Account eingeloggt und nie per Paypal bei Dus.net bezahlt....

 

[andilao]

"eine Ausgabe von Vorname, Nachname und E-Mailadresse im Debugmode ... Dies jedoch nur in spezifischen Fällen"
Alles klar, für admin:admin war keine Email-Adresse hinterlegt!

Wenn denen die Daten nicht geklaut wurden, hat man die also verkauft? :grübel:

Dass ich namentlich angesprochen wurde, hat mich schon etwas überrascht. Doch dann dachte ich mir, dass wohl niemand aus der Zielgruppe (Personen, deren mentale Kapazität ausreicht, einen dus.net-Account anzulegen) so blöd sein dürfte. War das jetzt falsch?

 

[voipd]

Hallo zusammen,

wir haben auf 3 dus.net Accounts keine Pa*pal Mails bekommen. Die dus.net Info errreichte uns gestern Abend.

Wer schonmal selbst Fehler gesucht hat weiss, dass man kurzfristig informieren soll, aber nicht ueberstuerzt!! Eine falsche Aussage im ersten Statement kann mehr verwirren als helfen.

In diesem Fall fand ich das Vorgehen und die zeitlichen Abstand in Ordnung.

voipd.

 

[KunterBunter]

Eine falsche Aussage im ersten Statement kann mehr verwirren als helfen.

In diesem Fall fand ich das Vorgehen und die zeitlichen Abstand in Ordnung.

Ich dagegen nicht. Die Aussage im ersten Statement mit dem Prüfscript war schon etwas verworren.

 

[eisbaerin]

Dass ich namentlich angesprochen wurde, hat mich schon etwas überrascht.

Das gehört zum "guten Ton" bei Phising-Mails.

Dus.net schafft es dagegen in ihrer Mail nur zu einem anonymen:
"Sehr geehrte Kundinnen und Kunden!"

Denen ist wohl die Datei mit Vorname/Nachname geklaut worden
(also nicht nur koppiert, sondern weg)?

PS: Die Dus.net-Mail habe ich gestern 21:46 erhalten die Phising-Mail noch nicht.

 

[Rohrnetzmeister]

Jetzt kann ich mich nicht mehr einloggen im Account.

Benutzername und Passwort falsch oder das Benutzerkonto existiert noch nicht!

 

[hagalabimbo]

Dito, aber mein Account ist in der Fritzbox weiterhin registriert.

 

[Rohrnetzmeister]

Ja das habe ich auch gleich probiert. Noch ist alles erreichbar.

Nur ein Ticket aufgeben für die Störung geht auch nicht.

 

[inquisitor]

Die große Frage ist, ob und welche Skripte und/oder Systemkomponenten noch über so einen praktischen debug-Modus verfügen.

Meine Daten wurden übrigens auch abgegriffen denn ich erhielt heute Nacht um 0:22 Uhr auch so eine Phishing-Mail.

 

[temex1]

Bei mir auch.Zwei Konten mit unterschiedlichen Mails. Habe auf beiden die Paypal Mails erhalten, Dank dus.net ist jetzt wohl meine spamfreie Mail verbrannt.

Nach den massiven Telefonstörungen jetzt das ! Habt Ihr eine Alternative?

 

[Rohrnetzmeister]

Habt Ihr eine Alternative?

Mein Favorit ist momentan Easybell.

 

[KunterBunter]

Dank dus.net ist jetzt wohl meine spamfreie Mail verbrannt. ... Habt Ihr eine Alternative?

Von vornherein eine andere e-Mail-Adresse dafür nehmen.

 

[sparkie]

der einzige Punkt in dem sich dus.net beim "Servereinbruch" IMHO hoechst zweifelhaft verhalten hat war dieser Post hier:

#6

[UPDATE: der Originalpost von dus.net auf den ich mich beziehe wurde am 27.06.2012 17:17 Uhr von dus.net entfernt ]

so er ueberhaupt von dus.net stammt. Klingt wie der Versuch die Geschaedigten fuer Dumm zu verkaufen.

Aber alles andere sind Folgeschaeden, die immer mal auftreten koennen und mit denen man halt nun mal leben muss. Immer gleich den Provider wechseln zu wollen ist auch keine Loesung

Es ist allerdings schon auffallend wie unprofessionell sich dus.net in den letzten Monaten immer wieder (insbesondere was die Informationspolitik betrifft) gezeigt hat.

- sparkie

 

[rollo]

Jetzt als Meldung bei heise online