Spam: Webseite von Bundesministerium ermöglichte Phishing-Mails

Über ein Newsletter-Formular des Familienministeriums konnten Spam- und Phishing-Mails an beliebige Opfer versendet werden.

Artikel veröffentlicht am ,
Phishing mit der Newsletter-Anmeldung des Familienministeriums
Phishing mit der Newsletter-Anmeldung des Familienministeriums (Bild: Tumisu/Pixabay)

Ein Formular zur Newsletter-Anmeldung auf der Webseite des Bundesministeriums für Familie, Senioren, Frauen und Jugend (BMFSFJ) wurde für Spam- und Phishing-Angriffe missbraucht. In das Feld für den Namen konnte beliebig langer Text eingetragen und so ganze Phishing-E-Mails ausformuliert werden, die anschließend vom Mailserver des Ministeriums an die E-Mail-Adresse des angegebenen Opfers gesendet wurden.

Stellenmarkt
  1. Informatiker / Fachinformatiker als IT Netzwerkspezialist (m/w/d)
    Scheidt & Bachmann GmbH, Mönchengladbach
  2. Informatiker:in als Mitarbeiter:in IT Support Service (m/w/d)
    ARTS Holding SE, Darmstadt
Detailsuche

Das Computermagazin C't entdeckte mehrere Spam-E-Mails, die auf diese Weise versendet wurden und konnte selbst eine authentisch wirkende Phishing-E-Mail als Proof-of-Concept (PoC) generieren.

Diese versprach einen einmaligen Haushaltsbonus von 600 Euro, sofern die betreffende Person verschiedene Daten auf einer verlinkten Webseite angebe. Erst unter diesem Text wurde die eigentliche Newsletter-Anmeldung mitsamt Bestätigung gesendet, die im Beispiel des Magazins eher wie ein Footer wirkt. Der Absender ist die echte Newsletter@bmfsfj.de-E-Mail-Adresse.

Eingaben nicht geprüft

Möglich war das Versenden solcher Phishing-Mails einerseits, weil die Webseite den eigentlich nicht notwendigen Namen erfasst, um Interessierte direkt ansprechen zu können. Andererseits prüfte und beschränkte das Ministerium die eingegebenen Daten nicht.

Golem Karrierewelt
  1. Deep Dive: Data Architecture mit Spark und Cloud Native: virtueller Ein-Tages-Workshop
    01.02.2023, Virtuell
  2. Elastic Stack Fundamentals – Elasticsearch, Logstash, Kibana, Beats: virtueller Drei-Tage-Workshop
    14.-16.02.2023, Virtuell
Weitere IT-Trainings

Wurde der HTML-Code des Feldes zum Eingeben des Namens zudem lokal bearbeitet, beispielsweise mit den Entwickler-Tools des Browsers, konnte dieses in ein Textarea-Feld abgeändert werden, in welches sich auch problemlos Zeilenumbrüche eintippen lassen. So kam die mehrere Absätze lange Mail des Magazins zustande.

Da die Daten - aus Datenschutzsicht vorbildlich - erst in einer Datenbank abgelegt wurden, wenn der Bestätigungslink in der Mail angeklickt wurde, ist nicht klar, in welchem Umfang Personen derartige E-Mails erhalten haben. Dem Ministerium sei nur bekannt, das es Spam-E-Mails gegeben habe, heißt es in dem Bericht. Das Formular für die Newsletteranmeldung wurde vorübergehend vom Netz genommen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Windows on ARM
Mit einem Arm in der Entwicklungshölle

Eine Entwicklungsoffensive soll die Probleme von ARM-Laptops endlich lösen. Windows on ARM, Linux-Support und die CPUs zeigen dabei aber noch deutliche Schwächen.
Von Sebastian Grüner

Windows on ARM: Mit einem Arm in der Entwicklungshölle
Artikel
  1. Kraftfahrt-Bundesamt: Elektrischer Corsa sollte zur Abgasuntersuchung
    Kraftfahrt-Bundesamt
    Elektrischer Corsa sollte zur Abgasuntersuchung

    Das Kraftfahrt-Bundesamt ruft den Opel Corsa samt der Elektro-Variante zurück, weil ein Softwarefehler im Auto eine Messung verhindert.

  2. World of Warcraft: Dragonflight zwischen Massentransport und Maxlevel
    World of Warcraft
    Dragonflight zwischen Massentransport und Maxlevel

    Ein harmloses Boot sorgt für vieldiskutierte Probleme beim Start von Dragonflight, der neuesten Erweiterung für World of Warcraft.

  3. Raumfahrt: Neue Besatzung kommt auf chinesischer Raumstation an
    Raumfahrt
    Neue Besatzung kommt auf chinesischer Raumstation an

    Chinas neue Raumstation ist praktisch fertig. Gerade ist eine neue Besatzung in den Orbit geflogen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 bei Amazon bestellbar • Tiefstpreise: Crucial SSD 4TB 319€, Palit RTX 4080 1.499€, HTC Vive Pro 2 659€ • Alternate: Team Group SSD 512GB 29,99€, AOC Curved 27" 240 Hz 199,90€ • Samsung Cyber Week • Top-TVs (2022) LG & Samsung über 40% günstiger • AOC Curved 34" WQHD 389€ [Werbung]
    •  /