E-Mail-Scam mit öffentlichen Daten von Xing oder LinkedIn

Mahlzeit miteinander.

Wir hatten hier eine für uns etwas ungewöhnliche Situation in Bezug auf einen Scam-Versuch, ich wollte das einfach mal hier teilen.

Ausgangssituation:

Am 01.10. hat ein neuer Kollege hier angefangen zu arbeiten. Im Vorfeld wurde ein E-Mail Postfach mit diversen Aliasen erzeugt, unter anderem:

<Erster-Buchstabe-Vorname>.<Nachname>@<Mail-Domain>.de (primärer Alias)
<Erster-Buchstabe-Vorname><Nachname>@<Mail-Domain>.de (automatischer, weiterer Alias, der nur Schreibfehler abfangen soll)

Alle E-Mails von und an diese Adresse waren die ersten Tage gesichert intern. Keine der E-Mail-Adressen ist nach extern in Erscheinung getreten, der Mitarbeiter hat das bestätigt. Gestern, am 10.10. erreichte ihn dann eine zunächst recht klassisch anmutende Spam-Mail:

Header:

Absender-Anzeigename:
<Titel-GF><Vorname-GF><Nachname-GF>

Absender-Adresse:
g.mail.71@inbox.ru

Absender-Server:
fallback20.i.mail.ru [79.137.243.76]

Empfänger-Adresse:
<Erster-Buchstabe-Vorname><Nachname>@<Mail-Domain>.de

Body:

Der Scam-Versuch wurde als solcher erkannt und es hat keine Kommunikation statt gefunden. Die Formulierung ist fast fehlerfreies Deutsch aber für unseren Betrieb ungewöhnlich (Details möchte ich natürlich nicht ausführen). Ich denke, jeder Versuch eines Mitarbeiters oder eines Hackers, der sich wirklich vorher E-Mails von dem genannten Geschäftsführer (GF) angesehen hätte, wäre anders formuliert worden. Ich schließe daraus, das weder unser noch ein anderes E-Mail-System überhaupt kompromittiert wurde.

These:

Es stellt sich natürlich die Frage, wie kommt eine derart personalisierte E-Mail an eine neu angelegte und unbekannte E-Mail-Adresse zustande. Mehr noch, es wurde ein technischer Alias des Postfachs "getroffen", der so nichtmal den Mitarbeitern geläufig ist.

Sowohl der Mitarbeiter, das Unternehmen, als auch der betreffende GF sind bei Xing und bei LinkedIn vertreten. Der neue Mitarbeiter hat seine Unternehmenszugehörigkeit dort bekannt gemacht. Dieser Umstand verleitet mich zu meiner bisher einzigen logischen Schlussfolgerung. Jemand hat, automatisiert, Daten von entweder Xing und oder LinkedIn gesammelt und in Zusammenhang gebracht. Dort sind alle Namen und Beziehungen zugänglich, nicht aber die E-Mail-Adressen. Es ist nur die Unternehmens-Domain durch www.<Mail-Domain>.de und info@<Mail-Domain>.de bekannt. Der Mitarbeiter verwendet dort logischer Weise eine private E-Mail-Adresse als Login. Ich gehe daher nicht davon aus, das hier ein Datenleck maßgeblich ist - ich denke die Daten wurden aus dem öffentlichen Profil gesammelt und das gängige Format der E-Mail-Adresse wurde erraten.

Ich habe noch ein weiteres Indiz gefunden. Am 04.10. gab es bereits zwei Zustellversuche an <Vorname>@<Mail-Domain>.de von aus2025@mail.ru . Da dieser Alias nicht existiert wurden beide E-Mails zurück gewiesen und haben nur Spuren in einem Gateway hinterlassen, die Header der Mails habe ich leider nicht.

Der Mitarbeiter wurde auch bei seinem vorherigen Arbeitgeber Ziel solcher E-Mails - auch ohne den zeitlichen Bezug zum neuen Arbeitsverhältnis. Es scheint, als ob seine Profildaten mehr als einmal abgegriffen wurden und es sich bei der Tatsache, dass das Arbeitsverhältnis neu ist, nur um einen Zufall handelt. Dennoch hat der Angriff eine gewisse Qualität weil er die Informationen gut kombiniert und dennoch automatisch zu laufen scheint.

Ich hoffe diese Information hilft irgendwo weiter. Wir hatten zwar schonmal Fake-GF-Mails aber relativ selten und es konnte kein derartiger Zusammenhang hergestellt werden.