Erfahrungen mit Pishing

[Firefly2023]

Ich habe vermeintlich eine Freigabe erteilt, damit meine Debit-Visa Karte Zahlungen von DirektPay erhalten kann. Wie ich oben schrieb, kann man bei der DIBA Funktionen aktivieren, dass geht dann mit der Banking.to-GO APP. Was aber dahinter Stand, ist, dass ich einem Gerät, wahrscheinlich einem Handy die Freigabe erteilt habe, um auf meinem Konto agieren zu können, denn in der Übersicht bei "Meine Geräte" stand dann ein XIAMO Handy drin. Die ING-DIBA App ist ja eine der Sichersten.

Ich kann dir nicht sagen, warum ich gestern diesen Vorgang, der mir von der ersten Minute spanisch vorkam, nicht einfach abgebrochen habe. Man setze mich unter Druck, man sagte mir, dass die Käuferin bezahlt habe, alles in Ordnung sei und wenn ich an mein Geld kommen möchte, ich doch Bitte DirektPay einrichten soll. Das Ganze, gepaart mit einem Support-Chat bei Fragen, Schritt für Schritt Hilfe usw. da habe ich 2 Sekunden nicht geschaltet. Das ich dann auf eine falsche Seite gelandet bin, die absolut seriös aussah, keine Rechschreibfehler, flasche Schriftart usw. habe ich nicht bemerkt. Den Screenshot habe ich gemacht, weil es mir komisch vorkam.

Fakt ist. Ich habe keinen Betrag gesehen, sondern anscheinend unbewusst, über eine Pishing-Seite, einem Fremden Handy zugriff auf mein Konto gegeben. Anders kann ich es mir nicht erklären.

Es gibt keine Screenshotsperre. Die Diba arbeitet ja nicht mehr mit Push-TAN, sondern mir 2FA und PIN

 

[h00bi]

Das ist natürlich sehr ärgerlich.
Wenn du den Zugriff auf dein Konto von einem anderen Gerät freigegeben hast, ist es natürlich sehr unwahrscheinlich dass das versichert ist. Denn das würde ja Tür und Tor für Betrug öffnen.
Generell halte ich das "freigeben" oder swipen für massiv unsicher.
Das ist wie wenn die User in der Firma einen Anruf vom Microsoft Anmeldesystem freigeben und # drücken obwohl sie sich grade gar nicht anmelden wollen.
Meiner Meinung nach schützt gegen sowas nur das manuelle abtippen einer Nummer.
Wobei es da auch wieder Leute gibt, die diese TAN per Telefon weitergeben (siehe Link).

Bedenklich finde ich jedoch, dass man bei der DiBa auf dem Handy neue Handys freigeben kann. Das teste ich direkt mal ob das bei der DKB geht.

 

[Yiasmat]

Alleine schon weil ein Link vom Echten Kleinanzeigen vir Direkt Nachricht kam der zum Fake Kleinanzeigen weiterleitete hätte Dich stutzig machen müssen! Denn auch noch die Aussage

...man sagte mir, dass die Käuferin bezahlt habe, alles in Ordnung sei und wenn ich an mein Geld kommen möchte, ich doch Bitte DirektPay einrichten soll.

Wenn Direkt Kaufen im Artikel verfügbar ist klickt man da drauf und wird an OPP weitergeleitet und alles weitere findet dort statt. Nach der Bezahlung wird der Verkäufer via E-Mail informiert.

Um Geld von OPP zu empfangen muss zuvor auch das eigene Girokonto verifiziert werden! Du musst dich also aktiv dafür anmelden auf Kleinanzeigen damit das passiert. Ist das schon geschehen muss da nix weiter passieren um an das Geld zu kommen. Denn das findet automatisch statt sobald der Käufer den Artikel erhalten und bestätigt hat dass soweit alles OK ist.

Grad wenn man den Treuhandservice von Kleinanzeigen nutzt sollte man sich im vorhinein drüber informieren wie das genau funktioniert und dass da ebend nichts via Direkter Nachricht von Seiten Kleinanzeigen kommt. Schon gar keine Links oder sonstige Bestätigungen zum Empfangen des Geldes usw.

Ich glaube daher auch nicht dran das von der ING was zurück erstattet wird da grob fahrlässig gehandelt wurde.

 

[h00bi]

Ich hab mich mal über die Features bei der DiBa schlau gemacht.

Man muss tatsächlich "nur" die Zugangsdaten abgreifen und den User nötigen auf seinem Gerät die Freigabe zu tätigen.
Das neue Gerät ist dann automatisch schon das Freigabegerät für Zahlungen.

Eigentlich solltest du den Schaden ersetzt bekommen.

Ich finde da jetzt kein Umfangreiches Kleingedrucktes, aber das sichert scheinbar jeden Fall ab.

Man könnte dir höchstens die Aussage ankreiden, dass es dir bereits suspekt war (weswegen du Screenshots gemacht hast) aber dann trotzdem noch bestätigt hast.

Ich bin gespannt.
Bei der DKB konnte ich das noch nicht nachstellen, weil mein Reservehandy zu alt für die neue DKB App ist, wird gar nicht zur installation angeboten.

 

[Firefly2023]

Um Geld von OPP zu empfangen muss zuvor auch das eigene Girokonto verifiziert werden! Du musst dich also aktiv dafür anmelden auf Kleinanzeigen damit das passiert. Ist das schon geschehen muss da nix weiter passieren um an das Geld zu kommen. Denn das findet automatisch statt sobald der Käufer den Artikel erhalten und bestätigt hat dass soweit alles OK ist.

Genau, und diese Verifizierung wurde vorgegaukelt. Ich habe mich ja angemeldet. War aber halt Fake.

Ergänzung (8. November 2023)

Ich hab mich mal über die Features bei der DiBa schlau gemacht.

Man muss tatsächlich "nur" die Zugangsdaten abgreifen und den User nötigen auf seinem Gerät die Freigabe zu tätigen.
Das neue Gerät ist dann automatisch schon das Freigabegerät für Zahlungen.

Eigentlich solltest du den Schaden ersetzt bekommen.

Ja, das denke ich eben auch. Wie gesagt, mal sehen...was bei rauskommt. Danke

 

[.one]

Ich habe mich ja angemeldet. War aber halt Fake.

Ich befürchte leider, du hast ein weiteres Gerät autorisiert. Das war eben kein Fake sondern schlicht und einfach Human Hacking. Die haben dich überlistet.

 

[Firefly2023]

Was anderes sage ich ja gar nicht. Mir ist das bewusst, dass ich überlistet wurde.

 

[S.a.M.]

Hast Du dieses Gerät aus dem Onlinebanking schon entfernt?

 

[h00bi]

Die Frage erinnert mich irgendwie an den "Cyberangriff" Thread, wo der ahnungslose TE die Zugangsdaten absichtlich nicht geändert hat um den Bösewicht zu fangen

Der TE kann es selbst gar nicht mehr entfernen. Dazu müsste der Betrüger mit dem neuen Hauptgerät mithelfen.
Wenn eine Anzeige erstellt und Antrag auf "Sicherheitsversprechen" gestellt wurde, dann gehe ich mal davon aus, dass das falsche Handy bereits von der Bank entfernt wurde.

 

[Pummeluff]

Eigentlich gar nicht. Es ging darum, dass quasi die Funktion „freigeschaltet“ wird, Geld auf die Kreditkarte buchen zu können. Wie sich herausstellte, war die Freigabe eine Überweisung.

Ist einem Freund auch passiert. Genau hatte ich den Zusammenhang nicht kapiert. Er sollte wohl eine Rückerstattung erhalten und deswegen seine Kreditkarte bei Kleinanzeigen freischalten. Statt der Erstattung kam dann eine Abbuchung.

Vielleicht bin ich etwas altmodisch. Bei Kleinanzeigen verkaufe ich schon seit vielen Jahren in unregelmäßigen Abständen ein paar Sachen. Als Zahlung akzeptier ich nur Bargeld bei Abholung, Überweisung oder Paypal (an Freunde/Bekannte).

Spätestens, wenn eine What's-App-Nachricht mit nigerianischer Vorwahl kommt (kam schon öfters), spiel ich vielleicht mit, wenn ich zuviel Zeit hab. Aber Kreditkartendaten bekommt da niemand. Auch die Zahlung per UPS-/GLS-Kurier im Briefumschlag hab ich nie ausprobiert. Da wäre ich tatsächlich mal neugierig, wie die Sache funktionieren soll.

Mag auch wieder meiner technischen Rückständigkeit geschuldet sein. Irgendwas mit meinem Konto zu verknüpfen, kommt bei mir nicht in Frage. Ich hab 2x vor langer Zeit per Sofortüberweisung bezahlt, weil es nicht anders ging. Aber wohl hab ich mich dabei nicht gefühlt. Genauso vermeide ich eigentlich Bankgeschäfte, übers Smartphone zu tätigen. Da fehlt mir die Übersicht.

 

[Ranayna]

Auch die Zahlung per UPS-/GLS-Kurier im Briefumschlag hab ich nie ausprobiert. Da wäre ich tatsächlich mal neugierig, wie die Sache funktionieren soll.

Da kommt natuerlich kein echter Kurier, sondern ein Handlanger des Phishers in mehr oder weniger gut imitierter Uniform.

Mag auch wieder meiner technischen Rückständigkeit geschuldet sein. Irgendwas mit meinem Konto zu verknüpfen, kommt bei mir nicht in Frage. Ich hab 2x vor langer Zeit per Sofortüberweisung bezahlt, weil es nicht anders ging. Aber wohl hab ich mich dabei nicht gefühlt. Genauso vermeide ich eigentlich Bankgeschäfte, übers Smartphone zu tätigen. Da fehlt mir die Übersicht.

Ich bin da auch extrem altmodisch, und solche Geschichten bestaetigen mich. Dann dauerts halt mal einen Tag bis ich zur Bank stiefeln kann um am dortigen Terminal eine Ueberweisung zu taetigen.
An Onlinediensten haben nur PayPal und Amazon ein SEPA Mandat. Beide aber schon seit vielen (>15) Jahren, und beide haben sich bis jetzt keine Bloesse erlaubt. Da ich auch kein Geld ueber PayPal empfange, habe ich wenig persoenliche Probleme mit dem Laden.

Sofortueberweisung war fuer mich niemals zu keinem Zeitpunkt eine Option, denn - so war es zumindest zu Beginn - man musste denen die Zugangsdaten zum Onlinebanking geben, etwas was dem gesunden Menschenverstand wiedersprechen sollte, und gegen die AGB saemtlicher Banken verstoesst.
Inzwischen, der Laden heisst ja jetzt auch anders (Klarna) funktioniert das wohl anders, nutzen werd ich die dennoch nicht.

 

[Firefly2023]

Ist einem Freund auch passiert. Genau hatte ich den Zusammenhang nicht kapiert. Er sollte wohl eine Rückerstattung erhalten und deswegen seine Kreditkarte bei Kleinanzeigen freischalten. Statt der Erstattung kam dann eine Abbuchung.

Vielleicht bin ich etwas altmodisch. Bei Kleinanzeigen verkaufe ich schon seit vielen Jahren in unregelmäßigen Abständen ein paar Sachen. Als Zahlung akzeptier ich nur Bargeld bei Abholung, Überweisung oder Paypal (an Freunde/Bekannte).

Spätestens, wenn eine What's-App-Nachricht mit nigerianischer Vorwahl kommt (kam schon öfters), spiel ich vielleicht mit, wenn ich zuviel Zeit hab. Aber Kreditkartendaten bekommt da niemand. Auch die Zahlung per UPS-/GLS-Kurier im Briefumschlag hab ich nie ausprobiert. Da wäre ich tatsächlich mal neugierig, wie die Sache funktionieren soll.

Mag auch wieder meiner technischen Rückständigkeit geschuldet sein. Irgendwas mit meinem Konto zu verknüpfen, kommt bei mir nicht in Frage. Ich hab 2x vor langer Zeit per Sofortüberweisung bezahlt, weil es nicht anders ging. Aber wohl hab ich mich dabei nicht gefühlt. Genauso vermeide ich eigentlich Bankgeschäfte, übers Smartphone zu tätigen. Da fehlt mir die Übersicht.

Ja so lief das auch. In Zukunft nur noch Abholung oder Überweisung. Egal ob auf die Tränendrüse gedrückt wird oder nicht.

Ich habe gerade mit meinem Versicherungsmakler telefoniert. Mit etwas Glück bekomme ich den Schaden erstattet, wenn es die Bank nicht tut. Man wird sehen.

Ergänzung (8. November 2023)

Hast Du dieses Gerät aus dem Onlinebanking schon entfernt?

Klar

Ergänzung (8. November 2023)

Die Frage erinnert mich irgendwie an den "Cyberangriff" Thread, wo der ahnungslose TE die Zugangsdaten absichtlich nicht geändert hat um den Bösewicht zu fangen

Der TE kann es selbst gar nicht mehr entfernen. Dazu müsste der Betrüger mit dem neuen Hauptgerät mithelfen.
Wenn eine Anzeige erstellt und Antrag auf "Sicherheitsversprechen" gestellt wurde, dann gehe ich mal davon aus, dass das falsche Handy bereits von der Bank entfernt wurde.

Nein, ich konnte das Gerät eigenständig entfernen. Ich habe es ja auch unbewusst hinzugefügt. Ich habe das gleich getan als ich den Schaden bemerkte. Mir war zu keine Zeit bewusst, dass ich ein Gerät hinzufüge. Die vermeintliche Mail von Kleinanzeigen habe ich auch noch. Die das Prozedere angeleiert hat.

 

[h00bi]

Ich habe das zwischenzeitlich mal bei der DKB durchgespielt. Dort erfolgt die Freigabe der auf einem anderen Gerät frisch installierten App über einen SMS Code an die hinterlegte Rufnummer.

 

[Firefly2023]

Bei der Diba läuft nichts über SMS. Keine Tans, keine SMS Tan. Online-Banking App, hinterlegtes Gerät….freigabe…..fertig.
Ist jetzt ja auch Wurscht….. es ist passiert…. Jetzt heißt es abwarten was passiert.

 

[h00bi]

Jetzt heißt es abwarten was passiert.

hast du denn einen Antrag(?) bei der DiBa gestellt auf Erstattung im Rahmen des Sicherheitsversprechens?
Oder wie genau läuft das?

 

[Firefly2023]

Ich bekomme jetzt neue Zugangsdaten zugeschickt und wohl auch ein Antrag dem ich eine Bescheinigung der Anzeige hinzugefügen muss. Leider ist bis heute noch nichts gekommen, sollte dann also morgen im Briefkasten sein, wobei ich es mich schon ärgert, dass die Sachen innerhlab von 3 Tagen nicht da sind.
Schlimm ist für mich, dass ich zur Zeit keinen Zugriff auf das Konto habe und auch telefonisch bei der ING-Diba nicht durchkomme. Ich kann nichts machen. Man braucht seine Zugangsdaten und die sind ja gesperrt und der Einmalcode noch nicht da. Zum ko...en.

 

[h00bi]

Schlimm ist für mich, dass ich zur Zeit keinen Zugriff auf das Konto habe

Naja, wenn du was ultra wichtiges zum überweisen hast, kannst du das doch sicher von Freunden machen lassen. Bargeld leihen geht ja sowieso problemlos.

 

[brettler]

Die ING-DIBA App ist ja eine der Sichersten.

Und dann kann man ein neues Gerät einfach so dem Online Banking hinzufügen? Bei der Sparkasse dauert das (zumindest bei meiner) mind. 1 Woche bis der Brief mit QR Code kommt.

Da frag ich mich dcoh woher wußte der "Betrüger" das man Ing Diba hat? Weil bei der Sparkasse hätte das nicht funktioniert denke ich mal.

 

[Yiasmat]

Da frag ich mich dcoh woher wußte der "Betrüger" das man Ing Diba hat?

Vom TE selbst! Der ist dem Link gefolgt der via DN kam um dort die Bankdaten einzugeben um die Auszahlung in Empfang zu nehmen. Diese Info hat er dem Betrüger also selbst gegeben.

 

[brettler]

Wie das dann wohl bei anderen Banken funktioniert hätte? Bei der Sparkasse wäre das nicht gegangen, aber vermutlich hat der auch dafür einen Weg gefunden.