Das ITSZ informiert: Bitte keine Links mit Betreff "mehr Speicherplatz" und ähnliches anklicken!
Mehrere Nutzende der HTWK Leipzig meldeten sich beim ITSZ wegen einer erneuten SPAM/Phishing Welle.
Bei den Phishing-Mails wird versucht, Nutzende auf schadhafte Webseiten zu führen, wo sie ihre Zugangsdaten eingeben sollen.
Die besagte Mail hatte den Betreff „Upgrade des E-Mail-Speichers“ und enthielt einen Link, bezeichnet mit „Mehr Speicherplatz“. Dieser Link führte zu einer Phishing-Seite und war der des regulären Webmailers nachempfunden (inkl. HTWK-Logo).
Falls der Link nur angeklickt wurde, ist noch nichts passiert und es muss nichts weiter getan werden.
Sollten dort aber Zugangsdaten eingegeben worden sein, muss sofort das Kennwort im IDM geändert werden! (https://idm-service.htwk-leipzig.de/idmdash/).
Es ist aktuell mindestens ein Fall bekannt geworden, wo mit abgegriffenen Zugangsdaten eines Nutzers weitere Phishing Mails in seinem Namen versandt wurden (Betreff „Wichtige ausstehende Nachrict“).
Wie erkenne ich solche Mails? Merkmale dieser Phishing Mails:
- sie enthalten teils auch plausible oder echte Inhalte und Namen von tatsächlich an Ihrer Fakultät/Einrichtung agierenden Personen
- die E-Mailadressen der Absender sind jedoch völlig fremd (Vorsicht auf Mobilgeräten, die E-Mailadressen werden dort teils ausgeblendet!)
- es ist ein Link enthalten, der aber nichts mit der HTWK zu tun hat
- es ist ein PDF im Anhang (Bspw. „Y.pdf“) , worin irrelevanter Text und ein Button „Open“ (oder ähnlich steht) – dort ist dann ein schadhafter Link hinterlegt
Was mache ich, wenn…?
... ich einen solchen Link angeklickt oder eine solche PDF-Datei geöffnet habe?
- prüfen Sie Ihr Endgerät auf Schadsoftware bzw. wenden sich an den zuständigen Administrator Ihrer Fakultät oder an das ITSZ
... ich meine Zugangsdaten auf einer solchen Webseite eingegeben habe?
- ändern Sie Ihr Passwort im IDM Portal
- melden Sie sich beim ITSZ servicedesk (at) htwk-leipzig.de
Wo kommen die echten Mailinhalte her?
- In den meisten Fällen stammen diese von kompromittierten Accounts, Unbefugte nehmen dann Zugriff auf Mailinhalte
- es wurden in der Vergangenheit bereits Vorfälle bekannt, wo solche Mailinhalte über kompromittierte Systeme bei Partnerfirmen bzw. Dienstleistern erlangt wurden
- Bspw. eignen sich Mails, die von Studierendensekretariat an einen ganzen Studiengang versandt wurden, sehr gut als Vorlage, um daraus weitere Phishing-Mails zu erzeugen
Wieso kommen solche Mails überhaupt in unseren Postfächern an und wieso werden solche Links nicht gesperrt bzw. von Antivirus-Software erkannt?
- viele SPAM- und Phishing-Mails werden erkannt, jedoch gibt es auch immer wieder Mails welche (noch) nicht maschinell erkannt werden können
- Ein Wettlauf mit der Zeit: In vielen Fällen können Sie den schadhaften Link bereits nicht mehr aufrufen, weil die Seite bereits offline genommen wurde oder von Sicherheitssoftware der Zugriff verhindert wird.
Das ITSZ dankt allen, die solche Fälle gemeldet und entsprechende Mails ans ITSZ weitergeleitet haben.
Die darin verwendeten Techniken sowie enthaltene Links werden überprüft und mit bereits bekannten Vorfällen abgeglichen.