Phisher missbrauchen URL-Weiterleitung der Arbeitsagentur

Cyber-Gauner haben eine Weiterleitungsfunktion der Bundesagentur für Arbeit für Phishing missbraucht. Die heise Security vorliegende Phishing-Mail ist auf den ersten Blick nicht auffällig: Der Absender heißt "PayPal Konflikt", der Betreff beginnt mit dem echten Namen des Empfängers, gefolgt von "Ihr Konto wurde eingeschränkt!".

Man muss schon zwei mal hinschauen, um die gut gemachte Phishing-Mail als solche zu erkennen. In der Mail heißt es, das Paypal-Konto des Empfängers sei aufgrund ungewöhnlicher Kreditkartenzahlungen gesperrt worden und er solle seine Daten zwecks Kontofreigabe doch bitte auf einer angeblichen Paypal-Seite abgleichen.

Doch wer mit der Maus über den angegebenen Link fährt, erlebt eine Überraschung: Er zeigt auf eine Unterseite von jobboerse.arbeitsagentur.de. Das eigentliche Ziel, die inzwischen nicht mehr erreichbare Phishing-Seite, hängt als Parameter an der verlinkten URL. Die Cyber-Gauner missbrauchen ein Umleitungsskript der Arbeitsagentur, um das Phishing-Opfer in spe in die Falle zu locken.

Vermutlich versuchen die Betrüger so, eventuell vorhandene Phishing-Filter zu überlisten – ein Link, der auf eine bekannte Domain wie Arbeitsagentur.de zeigt, hat einen vertrauenswürdigeren Anstrich als einer, der unmittelbar auf eine frisch registrierte oder für dubiose Aktivitäten bekannte Domain zeigt.

Die Spammer missbrauchen den Umstand, dass das Redirect-Skript der Bundesagentur für Arbeit jede beliebige URL als Parameter akzeptiert und dann auch anstandslos zur angegebenen Seite weiterleitet. Solche offenen Weiterleitungen sind trotz der naheliegenden Phishing-Gefahr nach wie vor sehr verbreitet. Wir haben die Bundesagentur über das Problem informiert. (rei)