Tag Archives: Scam

So schlechte Scams, daß man Lachen muß.

Posted on by

Heute mal wieder was lustiges: Unser RZ Betreiber warnte seine Kunden vor gefälschten „Ihre Domain läuft aus“ Mails, was in Deutschland gar nicht passieren kann, weil sich Domains automatisch verlängern, und das kam rein:

 

 

 

Wenn es der Hinweis von Thunderbird nicht weggeben hätte, oder der Empfänger einer Domain, die es nicht mehr gab, dann wäre der Inhalt dieser Scammail gewesen:

Analyse

Es gibt zwar eine Kyberio GmbH, aber die sitzt nicht in Berlin und schon gar nicht in einer „Mustergasse 123“ 😀

Als wenn das nicht genug wäre, welche Domain wäre denn am Ablaufen? Das wird gar nicht gesagt 🙂

Die verdächtige Telefonnummer aus Berlin … +49 30 123 45 67 😀 Ich hätte mich fast weggeworfen vor Lachen!! 😀

Die Header

Return-path: <weinelta@weinelt.at>
Envelope-to: <XXX@spamtrap.de>
Delivery-date: Wed, 14 Oct 2026 01:16:24 +0200
Received: from at1.login24.at ([37.252.190.58] helo=weinelt.at)
	by x.de with esmtps  (TLS1.3) tls TLS_AES_256_GCM_SHA384
	(Exim 4.99.5)
	(envelope-from <weinelta@weinelt.at>)
	id 1xGljM-0000000GADu-04Gb
	for XXX@Spamtrap.de;
	Wed, 14 Oct 2026 01:16:24 +0200
Received: by at1.login24.at (Postfix, from userid 10013)
	id C7C27D061D95C; Mon, 12 Oct 2026 20:15:19 +0000 (UTC)
To: info@bionelle.de
Message-ID: <1791836119.133711.79183816@landkreis-gifhorn.de>
Date: Mon, 12 Oct 2026 20:15:19 +0000
From: Kundenbetreuung <Support@landkreis-gifhorn.de>

Da haben wir:

– Den Empfänger den nicht mehr geben kann + wir stehen nicht drin, also BCC Kopie wie bei Spammern üblich.

– Der Landkreis Gifhorn schickt keine Mails über Domainverlängerungen ab

– Am Return-path: <weinelta@weinelt.at> und dem „Received: from at1.login24.at ([37.252.190.58] helo=weinelt.at)“ Header ist ersichtlich, es kam von einem gehackten Konto der Weinelt.at Seite und nein, daß ist kein Tippfehler für weinwelt.at .. der Mann heißt Weinelt 😉

– nichts im Header deutet auf Kyberio hin.

Wer von Euch auf so eine Email reinfällt, darf drin schwimmen, aber nicht auf Rettung hoffen, denn die Rettungskräften mußten erstmal herzlich Lachen über soviel Fail in Zeiten von KI Fakes.

ABO-Betrugsemail von support@servicegpthtlp.com

Posted on by

Wer von Euch CHATGTP im ABO benutzt sollte jetzt unbedingt auspassen, daß er nicht abgezockt wird:

Die Mail ist, auch wenn Sie außerhalb des Sichtbereiches behauptet, nicht von Open AI. Die Domain des Absender wurde erst heute Nacht registriert und ich behaupte mal, die würde auch ohne mein Zutun in 2 Tagen wiede verschwinden, weil es bei Ami Registraren so etwas wie 3 TAGE PROBEDOMAINS gibt, ohne das man dafür zahlt 😉

Hier die Daten zur Domain servicegpthtlp.com

[Querying whois.verisign-grs.com]
[Redirected to whois.cloudflare.com]
[Querying whois.cloudflare.com]
[whois.cloudflare.com]
Domain Name: SERVICEGPTHTLP.COM
Registry Domain ID: 3130929456_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.cloudflare.com
Registrar URL: https://www.cloudflare.com
Updated Date: 2026-08-11T01:59:25Z
Creation Date: 2026-08-11T01:59:22Z

Der Server steht bei Hetzner in Finnland und das ist schon eine Besonderheit, weil deren Server erst nach 30 Tagen Mails senden dürfen, die das aber sofort geschafft haben.

Aber… Cloudflare hat schon den Stecker gezogen, die Domain ist nicht mehr erreichbar, weil es keine DNS Auflösung mehr gibt. Da hat es der Scammer wohl mächtig übertrieben 🙂

 

Scam: Überprüfung Ihrer Rundfunkgebühren-Rückerstattung – Jetzt handeln!

Posted on by

Schön ist es eine Spam-Fallenadresse zu haben, so daß man gar nicht nachdenken muß, ob eine Spam auch eine Spam ist und oder auch noch ein Scam. Für alle, die keine eigene Falle  haben, folgende Masche ging uns ins Netz:

Scam: Überprüfung Ihrer Rundfunkgebühren-Rückerstattung – Jetzt handeln!

Seit einigen Tagen kommen gehäuft Scammails mit dieser Masche rein:

Sehr geehrte/r ##EMAILADRESSE##,

Wir haben festgestellt, dass eine Überzahlung in Höhe von 37,72 € für Ihre Rundfunkgebühren vorliegt.

Um die Rückerstattung zu erhalten, bitten wir Sie, den untenstehenden Button zu klicken und den Rückerstattungsprozess abzuschließen.

Rückerstattung jetzt prüfen
Bei Fragen oder Unklarheiten stehen wir Ihnen unter support@beitragsservice.de gerne zur Verfügung.

Mit freundlichen Grüßen,
Ihr ARD ZDF Deutschlandradio Beitragsservice

In Real sieht das so aus:

An der Absendeadresse ist schon eindeutig erkennbar, daß es sich um eine gefälschte Email handelt.

Wie immer, weg mit dem Datenmüll 😉