PayPal-Betrug nutzt Docusign zur Umgehung der Sicherheit

Betrüger sind wie Kakerlaken: Egal, wie oft man glaubt, sie vertrieben zu haben, sie finden immer einen Weg, sich wieder in Ihr Leben zu schleichen. Und in letzter Zeit haben sie einen alten Trick ausgegraben, um Ihre E-Mail-Sicherheit zu umgehen und Ihr hart verdientes Geld zu stehlen. Die neueste Masche? Eine raffinierte Mischung aus PayPal-Phishing und einer vertrauenswürdigen Plattform, die Sie wahrscheinlich schon verwendet haben: Docusign.

Ja, Sie haben richtig gelesen. Betrüger verwenden jetzt Docusign - einen Dienst, der Ihnen das Leben leichter machen soll -, um ihre Phishing-E-Mails echt aussehen zu lassen. Das ist, als würde ein Wolf im Schafspullover mit Monogramm vor Ihrer Tür auftauchen. Aber keine Sorge, wir helfen Ihnen dabei, den Betrug zu erkennen, der Ihnen vorgespielt wird.

Wie der neueste PayPal-Betrug funktioniert

Hier ist der Spielplan: Die Betrüger erstellen ein Docusign-Konto und verwenden dessen Vorlagen, um gefälschte PayPal-Rechnungen zu versenden. Da die E-Mails technisch gesehen von Docusign stammen, gleiten sie an den meisten E-Mail-Sicherheitsfiltern vorbei wie ein eingefetteter Otter. Sobald Sie die E-Mail öffnen, werden Sie mit einem Dokument begrüßt, das aussieht, als käme es von PayPal, komplett mit Logos und offiziell klingender Sprache. Aber jetzt kommt der Clou: Die E-Mail-Adresse verrät alles.

Pieter Arntz, Malware Intelligence Researcher bei Malwarebytes, weist darauf hin, dass diese E-Mails oft von einer zufälligen Gmail-Adresse stammen - nicht gerade das, was man von einem milliardenschweren Unternehmen wie PayPal erwarten würde. Und wenn Sie ein wenig tiefer graben, werden Sie andere rote Fahnen bemerken, wie die "An"-Adresse, die nicht mit Ihrer E-Mail übereinstimmt oder sogar überhaupt existiert.

Warum dieser alte Trick immer noch funktioniert

Sie denken jetzt vielleicht: "Das klingt wie etwas aus dem Jahr 2010. Nun, die Betrüger setzen auf zwei Dinge: Vertrauen und Ablenkung.

Erstens: Docusign ist eine vertrauenswürdige Plattform. Wenn Sie eine E-Mail von Docusign sehen, ist es unwahrscheinlich, dass Sie die Legitimität in Frage stellen. Zweitens: Seien wir ehrlich - wir sind alle beschäftigt. Wer hat schon die Zeit, jede E-Mail genau zu prüfen? Betrüger wissen das und nutzen es zu ihrem Vorteil.

Die gute Nachricht ist jedoch, dass dieser Betrug leicht zu erkennen ist, wenn Sie wissen, worauf Sie achten müssen.

Rote Fahnen, auf die Sie achten sollten

1. Verdächtige E-Mail-Adressen: Wenn die E-Mail vorgibt, von PayPal zu stammen, aber von einer Gmail- oder anderen Nicht-PayPal-Domäne kommt, handelt es sich um einen Betrug.
2. Keine Unterschrift erforderlich: Docusign ist für die Unterzeichnung von Dokumenten gedacht. Wenn in der E-Mail keine Unterschrift erforderlich ist, ist etwas faul.
3. Unpassende "An"-Adresse: Wenn die E-Mail nicht an Sie adressiert ist, ist sie nicht für Sie bestimmt.
4. Druck-Taktiken: Betrüger lieben die Dringlichkeit. Wenn in der E-Mail sofortiges Handeln gefordert wird, gehen Sie einen Schritt zurück und überprüfen Sie den Inhalt.

So schützen Sie sich vor PayPal-Betrug

• Gehen Sie direkt zur Quelle: Wenn Sie eine verdächtige E-Mail erhalten, klicken Sie nicht auf einen Link. Loggen Sie sich stattdessen direkt in Ihr PayPal-Konto ein (nicht über die E-Mail), um zu prüfen, ob es Probleme gibt.
• Überprüfen Sie das Dokument: Wenn die E-Mail einen Docusign-Link enthält, gehen Sie zu Docusign.com und geben Sie den Sicherheitscode des Dokuments manuell ein. Wenn er gefälscht ist, erhalten Sie eine Fehlermeldung.
• Aktivieren Sie die Zwei-Faktoren-Authentifizierung: Dies bietet eine zusätzliche Sicherheitsebene für Ihre Konten.
• Verdächtige Aktivitäten melden: Wenn Sie einen Betrug bemerken, melden Sie ihn an PayPal, Docusign und Ihren E-Mail-Anbieter.

Das große Bild: Phishing entwickelt sich weiter

Auch wenn sich diese Masche wie ein Rückfall in einfachere Zeiten anfühlen mag, entwickelt sich Phishing insgesamt weiter. Wie Paul Walsh, CEO von MetaCert, betont, ist der alte Ratschlag "Achten Sie auf Rechtschreibfehler" überholt. Die Betrüger entwerfen heute gut geschriebene, professionell aussehende Nachrichten, die schwerer zu erkennen sind.

Hinzu kommt, dass Phishing nicht mehr nur ein E-Mail-Problem ist. Die Betrüger nutzen zunehmend SMS, Anrufe und sogar soziale Medien, um ihre Opfer anzusprechen. Walsh argumentiert, dass herkömmliche Bedrohungsdaten nicht mehr ausreichen, um diese Angriffe zu bekämpfen, und dass neue Lösungen - wie die URL-Authentifizierung vor der Zustellung - erforderlich sind, um dem Spiel einen Schritt voraus zu sein.

Was PayPal unternimmt

PayPal sitzt nicht untätig herum. Das Unternehmen setzt eine Kombination aus manuellen Untersuchungen und fortschrittlichen Tools zur Betrugserkennung ein, um seine Nutzer zu schützen. Außerdem hat das Unternehmen gemeinsam mit anderen Initiativen wie die Kampagne "Smarter Than Scams" ins Leben gerufen, um das Bewusstsein für gängige Betrugstrends zu schärfen.

Aber unterm Strich gilt: Egal, wie viele Sicherheitsvorkehrungen es gibt, die beste Verteidigung sind Sie selbst. Bleiben Sie wachsam, vertrauen Sie auf Ihr Bauchgefühl und denken Sie daran: Wenn sich etwas komisch anfühlt, ist es das wahrscheinlich auch.

Unterm Strich: Seien Sie wachsam

Die Betrüger drehen vielleicht die Uhr zurück, aber das bedeutet nicht, dass wir auf ihre Tricks hereinfallen müssen. Wenn Sie gut informiert sind und ein paar einfache Schritte befolgen, können Sie selbst die raffiniertesten Betrüger überlisten. Wenn Sie also das nächste Mal eine E-Mail erhalten, die Ihnen verdächtig vorkommt, sollten Sie den Köder nicht schlucken. Seien Sie stattdessen derjenige, der den Betrüger in die Falle lockt, indem Sie ihn melden und Ihren Tag ohne Betrug fortsetzen.

Der beste Weg, einen Betrüger zu besiegen, ist, dafür zu sorgen, dass er sich dumm vorkommt. Und ganz ehrlich, es gibt nichts Befriedigenderes als das.