Offensichtlich haben meine ständigen Reklamationen über die Verwendung der deutschen Sprache in Spams und Phisingmails doch was bewirkt, denn diese Mail :

dit kundenummer : 0087932231
din kundereference : ID9438

Ihr Kreditkartenkonto wurde aus Sicherheitsgründen temporär eingeschränkt.

Sehr geehrter Kunde,

Nach einer Identitätsprüfung können Sie Ihre Kreditkarte sofort wieder benutzen.

Bitte bedenken Sie, dass Sie ohne Freischaltung zukünftig nicht bei teilnehmenden Händlern einkaufen können.

Um die Kontobegrenzung sofort aufheben zu können, bitten wir Sie folgende Informationen zu bestätigen.

* Alle Felder sind Pflichtfelder, bitte beachten Sie dass die Genauigkeit Ihre Daten für die Überprüfung extrem wichtig ist.

> Erhalten Sie Zugang zu Ihren Bankkonten.

Herzlichen Dank für Ihr Verständnis

Harald Fischer
Mastercard Sicherheitsteam Deutschland,,

hat nur zwei deutliche Fehler : die vielen Kommata und natürlich muß es Ihrer Daten lauten.. Da kann man leider schonmal drüber wegsehen als Opfer.

Der in der Email angegebene Link, geht natürlich nicht zu Mastercard, sondern irgendwo hin in der Welt. In meinem Fall nach Korea :

www.health-mart.co.kr/hshop/ch/images/0re.html

Und jetzt kommt die Magie, ohne überhaupt auf dem gehackten Webacocunt geschaut zu haben, kann man hier einen Klassiker der Sicherheitslücken als Ursache ausmachen:

Das nicht auf den Inhalt prüfende Bildhochladescript einer Webanwendung.

Leicht zu erkennen an der URL „/images/“ und der Endung „html“ , meistens aber „php“. Bilder sollen immer .jpg, .png usw. enthalten und das prüft das Script sicher nicht. Gern wird auch mal nur geprüft, ob der Endungsstring überhaupt drin vorkommen, was z.b. „hacker.png.php“ erlaubt. Wenn man  nun den Webpfad kennt unter dem das „Bild“ hätte erreichbar sein sollen, kann man dort das PHP Script aufrufen und schon ist der Webaccount unter der Kontrolle des Angreifers.

Ich frag mich immer wieder, wieso jeder Webanwendungen schreiben darf, auch wenn er/sie keine Ahnung davon hat. Gibt doch sonst für alles ein Gesetz 😉

Natürlich werden wir den Koreaner informieren, keine Frage.