Gefälschte Orange-Rechnungen verbreiten Remcos RAT: CERT warnt

In der aktuellen Kampagne stellten die Täter den Anzeigenamen des Absenders so ein, dass er echter Korrespondenz gleicht, während die tatsächliche Adresse nichts mit Orange zu tun hatte. Das Namensfeld lässt sich mit beliebigem Text füllen. In einer früheren Variante trugen die Betrüger dort sogar „e-faktura@pl.orange.com“ ein, um Empfänger in Sicherheit zu wiegen.

Worauf Sie achten sollten

Bei einer echten Nachricht steht im Empfängerfeld die Adresse des Kunden (manche Programme zeigen „an mich“). In gefälschten Mails ist das „An“-Feld mitunter ungewöhnlich: Es enthält fehlerhafte Header, bleibt leer oder deutet an, dass dieselbe Nachricht zeitgleich an viele Personen ging.

Ein weiteres Kontrollmerkmal sind die „Sicherheitsregeln“. In einer authentischen Mail stehen dort die Daten des Empfängers oder der Firmenname sowie die Kundennummer. CERT schildert einen Fall, in dem die Daten eines real existierenden Orange-Kunden genannt wurden, die Mail aber bei einer ganz anderen Person landete.

Sowohl echte als auch gefälschte Nachrichten können einen Anhang enthalten, doch der Zweck unterscheidet sich: Im Original ist es die Rechnung, in der Fälschung eine Datei zur Installation von Remcos RAT. Laut CERT könnten die Täter die Vorlage aus dem Internet kopiert oder nach der Übernahme eines Firmenpostfachs erbeutet haben.

Empfehlungen

Experten raten bei allen zahlungsbezogenen Nachrichten zu besonderer Vorsicht. Eine Orange-Rechnung zahlt man am sichersten in der App Mój Orange oder direkt in der Banking-App, indem man eine frühere Zahlung wiederholt. Verdächtige Mails lassen sich zur Prüfung an cert.opl@orange.com weiterleiten.