Phishing-Attacke im Januar 2023 mit DATEV E-Mail Adresse

[#1]

Hallo Community,

leider werden aktuell wieder verstärkt E-Mails im Namen von DATEV versendet, die eigentlich einen ganz anderen Absender im Hintergrund haben.

Konkret wird dabei die DATEV-Mail-Adresse service-aktuell(ät)datev.de verwendet (in der Mail mit echtem @-Zeichen).

⚠️ACHTUNG:

DATEV versendet solche Mails nicht!

Es gibt keine Mails von DATEV mit dem Betreff „unbezahlte DATEV Rechnung“.

DATEV fordert nicht über einen Hyperlink auf, offene Rechnungen zu begleichen!

Dies sind die offensichtlichsten Indikatoren um den Fake, die Phishing-Mail zu erkennen.

Hier ein Screenshot das die Mail zeigt:

Sollte bei dem Gruß am Ende der Mail ein bekannter Name aus der DATEV stehen, ist das auch kein Hinweis auf Echtheit einer offiziellen DATEV-Mail.

Im Text ist ein Hyperlink eingebaut, der natürlich nicht auf eine DATEV-Information verlinkt, sondern versucht auf infizierte Inhalte weiterzuleiten.

Bitte unterstützt uns und sensibilisiert alle in Eurem Umfeld dazu, dass diese Mail mit größter Vorsicht zu behandeln ist. Geht gerne auch noch mal zum neuen Jahr auf das Thema Phishing-Mails ein, falls Ihr das nicht schon getan habt.

Vielen Dank dafür im Voraus und Grüße aus Nürnberg,

Thomas Müller

[#2]

Spätestens wenn die Beraternummer zur eigenen Beraternummer passt ist aber auch mal zu klären wie die Kriminellen an diese gekommen sind. 

[#3]

---

@oschmitt  schrieb:

Spätestens wenn die Beraternummer zur eigenen Beraternummer passt ist aber auch mal zu klären wie die Kriminellen an diese gekommen sind. 

---

Gibt es denn einen Betroffenen, bei dem das zutrifft?

M.E. passierte  das bisher doch bei keinem Empfänger, oder?

[#4]

---

@oschmitt  schrieb:

Spätestens wenn die Beraternummer zur eigenen Beraternummer passt ist aber auch mal zu klären wie die Kriminellen an diese gekommen sind. 

---

Wurde hier schon am konkreten Fall besprochen:

Phishing mit vermeintlichen DATEV-Mails - DATEV-Community - 330428

Die Nummer passt nicht und falls sie das doch tut, dürfte es ein bemerkenswerter Zufallstreffer sein.

Es ist unwahrscheinlich, daß die Täter ihren Spam zuvor mit dem Logistikcenter abgestimmt haben. 😆

[#5]

... ein reines 'Gießkannenprinzip', wie zum Beispiel bei Amazon-, 1&1-, Sparkassen- oder sonstigen Wald-und-Wiesen-E-Mails, wird es bei dieser Spammail wohl nicht sein, dafür ist der E-Mail-Text schon zu speziell auf die Zielgruppe der Datev-Kanzleien ausgerichtet ...

... vielleicht mit dem Hintergedanken, dass sich in Steuer-Kanzleien jede Menge an vertraulichen Mandantendaten 'abgreifen' lassen

... gut möglich, dass man sich durch Anklicken des Hyperlinks ein Backdoor-Programm in's eigene System holen würde

[#6]

High,

Berater und Mandantennummer stehen auf jeder Gehaltsabrechnung

Gruss Mike

[#7]

---

@MikeWHerbs  schrieb:

High,

Berater und Mandantennummer stehen auf jeder Gehaltsabrechnung

Gruss Mike

---

Und bei LODAS-Gehaltsabrechnungen sogar noch die Lohn-ID.

Wer das Kuvert "abfischt", hat den ganz großen Fisch an der Angel.....die Möglichkeit, zu prüfen, ob die Gehaltsabrechnung "echt" ist....Potzblitz!

Das nennt man mal `nen Treffer... (Dieser Tipp darf ruhig im Netz von DATEV verkauft werden).....

[#8]

Wer das Kuvert "abfischt", hat den ganz großen Fisch an der Angel.....die Möglichkeit, zu prüfen, ob die Gehaltsabrechnung "echt" ist....Potzblitz!

Welches Kuvert. Wir haben doch ANO. 😁

Im Übrigen sind bissige Kommentare zu dem bösen Wort mein Ding... 😎

[#9]

Hallo Community,

leider geht das Thema Phishing-Mails zum Ende des Januars weiter. Es ist ein ähnliches Vorgehen wie im ersten Beitrag von mir. Es ist dieses Mal ein PDF angehangen und es werden wieder Rechnungsnummern und Mandantennummern verwendet (habe ich im Bild durch 123456 ersetzt). Dieses Mal wird darauf gesetzt, dass der Anhang heruntergeladen wird und dann geöffnet.

Bitte nicht!

Ich möchte hier noch einmal darauf hinweisen, das DATEV solche Mails nicht versendet. Auch diese Art der Aufforderung versendet DATEV nicht.

Hier wieder ein Sceenshot einer Mail, die wir freundlicherweise zur Verfügung gestellt bekommen haben:

Bitte leitet die Information weiter. Vielen Dank für Eure Unterstützung.

Viele Grüße hier aus Nürnberg,

Thomas Müller

[#10]

@Thomas_Müller ,

welcher Link steckt denn hinter dem Bild ?

... dann kann man zusätzlich auch diesen URL sperren

... oder enthält die E-Mail eine Anlage im Html-Format oder in einem sonstigen gefährlichen Format ?

Die Info zu dieser 'Phishing-Attacke' ist ein wenig 'mager' 

... es könnte ja auch gefährlicher sein als 'nur' Phishing 

[#11]

@vogtsburger sorry, du hast natürlich Recht. Ein paar mehr Informationen können helfen 👍

Dem Screenshot nach gehe ich ganz fest davon aus, dass die E-Mail im HTML-Format versendet wird. Die URL, ist nach aktuellem Stand immer wieder eine andere. Das Wechseln der verlinkten Adressen in solchen Phishing-Mails etabliert sich aktuell immer mehr. Leider!

Das PDF aus der Mail habe ich leider auch noch nicht gesehen. Ich bin nicht im Besitz der originalen Mail. Es kann auch sein, das nur ein Bild angehangen wurde, das eine PDF-Datei vorgaukeln soll. Das Bild ist aber sicher auch mit einem Hyperlink versehen.

Mehr kann ich im Moment leider nicht sagen. Wenn ich mehr Informationen bekommen, schreibe ich hier wieder.

Viele Grüße hier aus Nürnberg,

Thomas Müller

[#12]

... mir ging es eher um die E-Mail-Anlage im Html-Format als um den E-Mail-Body im Html-Format

In letzter Zeit begegnen mir immer mehr E-Mails mit Html-Anlagen, die 'nur' ein gefährliches Javascript enthalten 

Die Hyperlinks hinter den Bildern im E-Mail-Body sind aber auch sehr beliebt ... bei den Versendern solcher Mails 

[#13]

... man könnte den User ja sensibilisieren, keine Mails mit HTML Anhang zu öffnen (also generell nicht / macht man ja auch nicht).

Nur nutzt die DATEV ja genau dieses Konstrukt mit HTML-Anhang selber.

Erkenntnis: "selber schuld" oder wie oder was?

[#14]

Hallo @LS4B ,

 ich kann den Unmut über solche Phishing-Mails gut verstehen. DATEV versendet solche Mails aber überhaupt nicht. 

Wir, ich setzen auf Transparenz, Lernen und Weiterentwicklung. Wir schätzen jeden konstruktiven Austausch - genau so können wir besser werden und gegenüber den Betreibern solcher Phishing-Attacken Stärke zeigen. Wäre gut wenn ich Dich dazu mit einladen könnte.

„Selber schuld“ hilft weder unseren Kunden noch der Community. 

 Viele Grüße hier aus Nürnberg,

Thomas Müller

[#15]

Ne, ich hab keinen Unmut => Der Inhalt einer typischen, "echten" DATEV-Mail:

Benachrichtigung über Sichere E-Mail

Sie haben eine verschlüsselte E-Mail von <logistik-center@service.datev.de > erhalten. Betreff: XYZ

Sehr geehrte Damen und Herren,

diese E-Mail enthält vertrauliche Daten, welche vom Absender über die DATEV Mitarbeiter-E-Mail-Verschlüsselung versendet wurden.

Bevor Sie die Nachricht lesen können ist die einmalige Vergabe eines Passworts im Entschlüsselungsportal erforderlich. Doppelklicken Sie dazu den Anhang „secure-email.html“ und folgen Sie den Anweisungen des Programmes.

---

Ist echt, hat aber dennoch einen HTML-Anhang... Ich habe NIE gesagt, dass die DATEV Phishing-Mails verschickt - aber halt dennoch Mails mit HTML-Anhang.

Das meinte ich => Dem User kannst du halt nicht sagen: "Mails mit HTML-Anhang generell nicht öffnen".

[#16]

ich hatte mal netzweit per Registry-Eintrag alle potentiell gefährlichen MS Office-Formate für den Posteingang blockiert ...

... aber das Geschrei der Mitarbeiter war groß, weil einige Mandanten und Mitarbeiter des Öfteren z.B. Excel-, Word-, oder auch weitere MS-Office-Dateien austauschen und keine bequemere Möglichkeit kennen

... also alles wieder rückgängig gemacht

Aber es stehen ja auch noch weitere Outlook-Sicherheitseinstellungen zur Verfügung.

Ich werde mir was Passendes überlegen, um wenigstens die gröbsten Mistgriffe zu verhindern,

z.B. durch Blockieren von Html-Anlagen und durch das Deaktivieren von JavaScript

Aber es gibt leider viele, viele Schlupflöcher für Schadcode

Sensibilisierung ist gut und schön, man kann sich den Mund fusselig reden, aber jeder kann reinfallen, auch die vermeintlichen Routiniers, auch man selbst.

Je 'normaler' die E-Mail aussieht, desto unvorsichtiger wird man

Nachtrag:

Von einzelnen Mitarbeitern erhalte ich gelegentlich weitergeleitete E-Mails zwecks Prüfung auf Schadcode, ... und konnte tatsächlich schon einige E-Mails als bösartig erkennen und aussortieren

Von einigen anderen Mitarbeitern erhalte ich nie solche Anfragen.

Entweder erhalten sie nie solche E-Mails, weil sie grundsätzlich nur dienstlich mit seriösen Partnern 'verkehren' oder sie erkennen und ignorieren suspekte E-Mails in Eigenregie, z.B. durch eine tel. Rückfrage beim Absender, falls es ein Mandant, ein Mitarbeiter oder eine sonstige Kontaktperson ist oder sie tauschen sich untereinander aus oder trauen sich nicht, mich zu fragen ...

... egal ... Hauptsache, man fängt sich nichts ein.

Wir sitzen ja alle im gleichen Boot !