Spam: Webseite von Bundesministerium ermöglichte Phishing-Mails

Über ein Newsletter-Formular des Familienministeriums konnten Spam- und Phishing-Mails an beliebige Opfer versendet werden.

Artikel veröffentlicht am ,
Phishing mit der Newsletter-Anmeldung des Familienministeriums
Phishing mit der Newsletter-Anmeldung des Familienministeriums (Bild: Tumisu/Pixabay)

Ein Formular zur Newsletter-Anmeldung auf der Webseite des Bundesministeriums für Familie, Senioren, Frauen und Jugend (BMFSFJ) wurde für Spam- und Phishing-Angriffe missbraucht. In das Feld für den Namen konnte beliebig langer Text eingetragen und so ganze Phishing-E-Mails ausformuliert werden, die anschließend vom Mailserver des Ministeriums an die E-Mail-Adresse des angegebenen Opfers gesendet wurden.

Stellenmarkt
  1. Softwareentwickler (m/w/d) mit Schwerpunkt Regelungstechnik/DSP
    KOSTAL Automobil Elektrik GmbH & Co. KG, Dortmund
  2. Mitarbeiter (m/w/d) Strategischer Einkauf IT Dienstleistungen
    W&W Service GmbH, Ludwigsburg
Detailsuche

Das Computermagazin C't entdeckte mehrere Spam-E-Mails, die auf diese Weise versendet wurden und konnte selbst eine authentisch wirkende Phishing-E-Mail als Proof-of-Concept (PoC) generieren.

Diese versprach einen einmaligen Haushaltsbonus von 600 Euro, sofern die betreffende Person verschiedene Daten auf einer verlinkten Webseite angebe. Erst unter diesem Text wurde die eigentliche Newsletter-Anmeldung mitsamt Bestätigung gesendet, die im Beispiel des Magazins eher wie ein Footer wirkt. Der Absender ist die echte Newsletter@bmfsfj.de-E-Mail-Adresse.

Eingaben nicht geprüft

Möglich war das Versenden solcher Phishing-Mails einerseits, weil die Webseite den eigentlich nicht notwendigen Namen erfasst, um Interessierte direkt ansprechen zu können. Andererseits prüfte und beschränkte das Ministerium die eingegebenen Daten nicht.

Golem Akademie
  1. Jira für Anwender: virtueller Ein-Tages-Workshop
    10. November 2021, virtuell
  2. PowerShell Praxisworkshop: virtueller Vier-Tage-Workshop
    20.–23. Dezember 2021, virtuell
Weitere IT-Trainings

Wurde der HTML-Code des Feldes zum Eingeben des Namens zudem lokal bearbeitet, beispielsweise mit den Entwickler-Tools des Browsers, konnte dieses in ein Textarea-Feld abgeändert werden, in welches sich auch problemlos Zeilenumbrüche eintippen lassen. So kam die mehrere Absätze lange Mail des Magazins zustande.

Da die Daten - aus Datenschutzsicht vorbildlich - erst in einer Datenbank abgelegt wurden, wenn der Bestätigungslink in der Mail angeklickt wurde, ist nicht klar, in welchem Umfang Personen derartige E-Mails erhalten haben. Dem Ministerium sei nur bekannt, das es Spam-E-Mails gegeben habe, heißt es in dem Bericht. Das Formular für die Newsletteranmeldung wurde vorübergehend vom Netz genommen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Resident Evil (1996)
Grauenhaft gut

Resident Evil zeigte vor 25 Jahren, wie Horror im Videospiel auszusehen hat. Wir schauen uns den Klassiker im Golem retro_ an.

Resident Evil (1996): Grauenhaft gut
Artikel
  1. Streaming: Chromecast erhält spezielle Youtube-Fernbedienung
    Streaming
    Chromecast erhält spezielle Youtube-Fernbedienung

    Die Steuerung von Youtube auf einem Chromecast soll mit einer neuen Funktion deutlich komfortabler werden.

  2. Studie: Kinder erhalten Smartphone meist zwischen 6 und 11 Jahren
    Studie
    Kinder erhalten Smartphone meist zwischen 6 und 11 Jahren

    Nur eine sehr geringe Minderheit der Eltern will ihrem Kind erst mit 15 Jahren ein Smartphone zur Verfügung stellen.

  3. Google: Kopfhörer verlieren Google-Assistant-Support auf iPhones
    Google
    Kopfhörer verlieren Google-Assistant-Support auf iPhones

    Wer Google Assistant am Kopfhörer benutzen will, ist künftig auf ein Android-Gerät angewiesen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Saturn-Advent: Samsung Portable SSD T5 1 TB 84€ • ViewSonic VX2718-2KPC-MHD (WQHD, 165 Hz) 229€ • EPOS Sennheiser GSP 670 199€ • EK Water Blocks Elite Aurum 360 D-RGB All in One 205,89€ • KFA2 Geforce RTX 3070 OC 8 GB 1.019€ • Alternate (u. a. AKRacing Core SX 269,98€) [Werbung]
    •  /