Kaum ein Tag vergeht, in dem man nicht eine Phishing-Mail im elektronischen Postfach findet. Doch wer steckt hinter diesen Nachrichten? Und welche Umsätze lassen sich durch Phishing generieren? Einem Blogger ist es wohl gelungen, tatsächlich einen Phisher zu einem Interview über seine kriminellen Aktivitäten zu bewegen.
Nur wer seinen Feind kennt, kann ihn effektiv bekämpfen. Gemessen an diesem Motto, verrät das Interview viel über eine Szene, die kaum erforscht ist. Der Phisher namens „lithium“ ist 18 Jahre jung, Schulabgänger und zählt neben dem Internet fernöstliche Kampfkunst zu seinen Hobbys. Seine ersten Kontakte zu Phishing-Mails erhielt er im Alter von 14 Jahren über das Postfach seiner Eltern, wo er handwerklich schlecht gemachte Betrugsmails fand und sich herausgefordert fühlte, diese zu optimieren. Einen gewissen Erfolg dabei kann man ihm nicht absprechen: nach eigenen Angaben hat er weit über 20 Millionen Online-Identitäten gestohlen, die meisten davon über so genannte Computerwürmer, also Schadprogramme, die sich zum Beispiel über Netzwerke verteilen. Selbst wenn man Abstriche wegen jugendlicher Prahlerei machen wollte, bleibt eine erschreckend hohe Zahl bestehen. Die meiste Beute versprechen dabei „social networking“-Angebote, in denen sich Teenager ab 14 Jahre tummeln; hier ist der Leichtsinn am grössten.
Beim Aufbau einer Phishing-Seite sucht er sich zunächst eine geeignete Domain, die zu einem Projekt passt, um dann über einen Offshore-Server Inhalte online zu schalten; dann kann der Fischzug mit Programmen wie MyChanger beginnen. Je attraktiver die Domain und je realistischer das Angebot, desto mehr Opfer finden sich, teilweise 30.000 am Tag. Abgesehen hat es der Phisher auf die Zugangsdaten, also Benutzername und Passwort. Die Hälfte der Nutzer verwendet dabei für den eigenen eMail-Account das identische Passwort – schon ist ein Zugriff auf Kundenkonten von Anbietern wie Paypal, eGold, Rapidshare oder Ebay möglich. Diese Daten wiederum verkauft der Phisher, und verdient dabei nach eigenen Angaben US$ 3.000,– bis 4.000,– am Tag. Verschlüsselte virtuelle Netzwerke, Dedicated Server und Proxies helfen dabei, unerkannt zu bleiben.
Als grösste Hindernisse für Phishing nennt „lithium“ derzeit die beiden Browser Internet Explorer 7 und FireFox 2, die dank Antiphishing-Protection die meisten Irritiationen verursachen. Dank fauler Programmierer wird den Phishern aber auch künftig der Platz nicht ausgehen, ihre Netze auszuwerfen. Auch wenn die Frage der Echtheit des Interview offen bleiben wird, geben die Hinweise von „lithium“ Aufschluss, an welchen Stellen besondere Vorsicht geboten ist, um nicht ebenfalls im Netz zu zappeln.