• IT-Karriere:
  • Services:

Spam: Webseite von Bundesministerium ermöglichte Phishing-Mails

Über ein Newsletter-Formular des Familienministeriums konnten Spam- und Phishing-Mails an beliebige Opfer versendet werden.

Artikel veröffentlicht am ,
Phishing mit der Newsletter-Anmeldung des Familienministeriums
Phishing mit der Newsletter-Anmeldung des Familienministeriums (Bild: Tumisu/Pixabay)

Ein Formular zur Newsletter-Anmeldung auf der Webseite des Bundesministeriums für Familie, Senioren, Frauen und Jugend (BMFSFJ) wurde für Spam- und Phishing-Angriffe missbraucht. In das Feld für den Namen konnte beliebig langer Text eingetragen und so ganze Phishing-E-Mails ausformuliert werden, die anschließend vom Mailserver des Ministeriums an die E-Mail-Adresse des angegebenen Opfers gesendet wurden.

Stellenmarkt
  1. über duerenhoff GmbH, Raum Ingolstadt
  2. Hottgenroth Software GmbH & Co. KG, Flammersfeld (Westerwald)

Das Computermagazin C't entdeckte mehrere Spam-E-Mails, die auf diese Weise versendet wurden und konnte selbst eine authentisch wirkende Phishing-E-Mail als Proof-of-Concept (PoC) generieren.

Diese versprach einen einmaligen Haushaltsbonus von 600 Euro, sofern die betreffende Person verschiedene Daten auf einer verlinkten Webseite angebe. Erst unter diesem Text wurde die eigentliche Newsletter-Anmeldung mitsamt Bestätigung gesendet, die im Beispiel des Magazins eher wie ein Footer wirkt. Der Absender ist die echte Newsletter@bmfsfj.de-E-Mail-Adresse.

Eingaben nicht geprüft

Möglich war das Versenden solcher Phishing-Mails einerseits, weil die Webseite den eigentlich nicht notwendigen Namen erfasst, um Interessierte direkt ansprechen zu können. Andererseits prüfte und beschränkte das Ministerium die eingegebenen Daten nicht.

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
Weitere IT-Trainings

Wurde der HTML-Code des Feldes zum Eingeben des Namens zudem lokal bearbeitet, beispielsweise mit den Entwickler-Tools des Browsers, konnte dieses in ein Textarea-Feld abgeändert werden, in welches sich auch problemlos Zeilenumbrüche eintippen lassen. So kam die mehrere Absätze lange Mail des Magazins zustande.

Da die Daten - aus Datenschutzsicht vorbildlich - erst in einer Datenbank abgelegt wurden, wenn der Bestätigungslink in der Mail angeklickt wurde, ist nicht klar, in welchem Umfang Personen derartige E-Mails erhalten haben. Dem Ministerium sei nur bekannt, das es Spam-E-Mails gegeben habe, heißt es in dem Bericht. Das Formular für die Newsletteranmeldung wurde vorübergehend vom Netz genommen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (u. a. Ryzen 5 5600X 358,03€)

Folgen Sie uns
       


Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /