Auf einen Blick
- Betrügerische E-Mails versprechen Steuerrückerstattung. Vorsicht vor Phishing-Masche
- Täuschend echte Webseite der ESTV lockt Opfer mit schnellem Geld
- Betrüger umgehen Zwei-Faktor-Authentifizierung und buchen sofort 736 Franken ab
Niemand zahlt gerne Steuern – umso erfreulicher ist es, wenn man gleich nach Weihnachten einen ordentlichen Batzen zurückerstattet bekommt. Doch Achtung: Das E-Mail der Eidgenössischen Steuerverwaltung (ESTV) im Postfach ist eine dreiste Betrugsmasche. Bereits letztes Jahr berichtete Blick über die Masche – doch die Betrüger sind schlauer geworden.
«Wir freuen uns, Ihnen mitteilen zu können, dass Sie nach unseren jährlichen Steuerberechnungen ab dem 10. Januar auf eine Rückerstattung hoffen können», heisst es in dem betrügerischen E-Mail. Sage und schreibe 736 Franken sollen per Kreditkarte zurückerstattet werden, aber nur, wenn man schnell genug ist. Denn die Frist ist mit nur zwei Stunden extrem kurz.
Die Betrüger umgehen die Zwei-Faktor-Authentifizierung
Wer nicht aufpasst und auf den Link klickt, um an das schnelle Geld zu kommen, tappt in die Falle. Das Opfer wird auf eine täuschend echt aussehende Website weitergeleitet, ausgestattet mit dem Logo und der Aufmachung der ESTV. Dort werden E-Mail-Adresse, Name und natürlich die Kreditkartendaten des vermeintlichen Glückspilzes abgefragt. Dann noch schnell den Verifizierungscode per SMS eingeben und innerhalb von zwei Stunden wird der Antrag bearbeitet, schreibt die Scheinsteuerverwaltung.
Doch dem ist nicht so: «Gelingt die Phishing-Masche der Betrüger, wird sofort eine Kreditkartenabbuchung ausgelöst», schreibt die Cybercrime Polizei auf ihrer Website. Denn das Dreiste: Der SMS-Code, den man zur Verifizierung erhalten hat, war in Wirklichkeit der Verifizierungscode der eigenen Bank und die Betrüger umgehen so die Zwei-Faktor-Authentifizierung.
«Los geht's!»
«Beim richtigen eIAM (die zentrale Login-Infrastruktur des Bundes) wäre die Authentisierung mit zumindest einem Passwort notwendig», schrieb das Bundesamt für Cybersicherheit vor einem Jahr. Denn schon damals versuchten die Betrüger ihr Glück im Namen der ESTV. Doch im Gegensatz zu damals haben die Betrüger dazugelernt: Statt Euro werden den Opfern heute Franken gutgeschrieben. Zudem drohen die Betrüger mit einer kurzen Frist und hoffen so, dass die Opfer unter Druck ihre Sicherheitsbedenken beiseiteschieben.
Dennoch gibt es einige Punkte, die darauf hindeuten, dass das Angebot zu gut ist, um wahr zu sein. So wird das Eszett (ss) in der Schweiz nicht verwendet und auch ein Blick auf den Absender oder den Link in der E-Mail macht stutzig. Und: «Für eine reguläre Rückerstattung wird selbstverständlich nie eine Kreditkartennummer verlangt, sondern eine IBAN-Nummer», so der Bund. Dazu wäre die Ermutigung am Schluss für Bund untypisch: «Let's do this!» (Los geht's!)