Darum gehts
- Bacs warnt vor «Subscription Bombing», Betrugsmasche mit massiver E-Mail-Flut
- Angreifer verstecken kritische E-Mails im Chaos von Hunderten Spam-Nachrichten
- Bund rät: wer von einer plötzlichen Mail-Flut überrascht wird, sollte Ruhe bewahren
Stell dir vor: Du nimmst am Morgen dein Handy in die Hand und hast 847 neue E-Mails in deiner Inbox. Newsletter-Anmeldungen von Shops, die du nie besucht hast. Abo-Bestätigungen für Dienste, die du nie gebucht hast. Willkommensmails von Websites, bei denen du kein Konto hast. Dein Postfach ist explodiert, innert Minuten.
Das Bundesamt für Cybersicherheit (Bacs) warnt vor dieser perfiden Betrugsmasche, die aktuell hierzulande kursiert: «Subscription Bombing». In der vergangenen Woche erreichten die Behörde «vermehrt Meldungen» zu dieser Attacke. Was im ersten Augenblick nach massivem Spam aussieht, ist in Wahrheit eine Ablenkung.
Hinter Mail-Flut steckt Kalkül
Denn im Hintergrund haben sich Cyberkriminelle Zugang zu einem Konto verschafft, etwa bei einem Online-Händler. Dann lösen sie eine Transaktion aus und fluten gleichzeitig das Postfach des Opfers mit Hunderten oder Tausenden Mails. «Der Zweck der Attacke ist nicht die Belästigung», erklärt das Bacs in seiner Meldung. «Die Angreifer nutzen die E-Mail-Flut, um eine einzige, kritische E-Mail zu verbergen.» Die entscheidende Sicherheitswarnung oder Zahlungsbestätigung geht so im Chaos unter und wird übersehen.
Für Spam-Filter ist «Subscription Bombing» eine Herausforderung. Denn die Mails kommen von Servern seriöser Firmen aus der ganzen Welt. Die Angreifer nutzen echte Webformulare für Newsletter-Anmeldungen oder Registrierungen. Filter stufen die Nachrichten als unbedenklich ein. Sperrlisten greifen nicht. Eine harte Filterung würde zudem dazu führen, dass auch erwünschte Mails blockiert werden, erklärt das Bacs.
Das solltest du nicht tun
Der Bund rät: Wer von einer plötzlichen Mail-Flut überrascht wird, sollte Ruhe bewahren. Nicht panisch alles löschen, sondern gezielt nach Begriffen wie «Zahlung», «Bestellung», «Passwort» oder «Sicherheit» suchen. So lassen sich die Warnungen in der Masse finden. Danach soll man die wichtigsten Konten kontrollieren: E-Banking, Kreditkarten, Online-Shops. Und: bei verdächtigen Aktivitäten Kontakt mit Anbietern aufnehmen und Passwörter ändern. Auf die Spam-Mails selbst solle man nicht reagieren, so der Bund.
Das Bacs empfiehlt zudem, Mail-Adressen nicht im Klartext auf Websites zu veröffentlichen. Cyberkriminelle sammeln diese durch automatisiertes Auslesen. Website-Betreiber sollten darum ihre Kontaktformulare mit Schutzmechanismen wie Captchas versehen und die Anzahl der Anfragen pro IP-Adresse begrenzen.