Phishing-Kampagne konnte direkt auf eBay platziert werden

Kriminellen ist es gelungen, eine Phishing-Kampagne innerhalb der Handelsplattform eBay unterzubringen. Unvorsichtige Nutzer wurden von dieser aus Angeboten heraus auf gefälschte Webseiten geleitet, wo versucht wurde, an ihre Daten zu kommen. Die Zielseiten waren dabei dem Design der eBay-Plattform nachempfunden. So dürfte es vielen Betroffenen nicht unbedingt ungewöhnlich erschienen sein, wenn sie hier noch einmal nach ihrem Login gefragt wurden. Es bedurfte schon eines kritischen Blicks in die Adresszeile des Browsers, um zu erkennen, dass man sich schon nicht mehr auf eBay aufhielt.

Auf die gefälschten Seiten wurde in Angeboten verwiesen, die für Nutzer zum gegenwärtigen Zeitpunkt besonders interessant sein könnten. Dies galt beispielsweise für die Offerte eines iPhone 5S, bei dem viele User angesichts der aktuellen iPhone 6-Veröffentlichung auf ein Schnäppchen hoffen dürften. Verbunden war das Listing mit der Aufforderung, den Anbieter möglichst vor der Abgabe eines Gebotes zu kontaktieren.

Sicherheits-Experten zeigten sich nicht unbedingt verwundert darüber, dass es zu einem solchen Vorfall kommen konnte - wohl aber über die Reaktionszeiten eBays. Das Unternehmen wurde zwar relativ zeitnah über die Angelegenheit informiert, doch es dauerte mehr als zwölf Stunden, bis die betrügerischen Angebote von der Plattform gelöscht wurden.

"eBay ist ein großes Unternehmen und sollte ein Team haben, das 24/7 auf solche Dinge reagiert", erklärte Steven Murdoch von der Information Security Research Group des University College London gegenüber der BBC. Hinzu kommt allerdings, dass es die automatischen Schutzsysteme nicht verhindern konnten, dass der Angreifer eigenen JavaScript-Code einschleusen konnte, der die Nutzer durch eine Reihe anderer Webseiten führte, bevor sie auf der eigentlichen Phishing-Seite landeten. Diese dienten nach bisherigen Erkenntnissen dazu, die Spuren zu den Tätern zu verschleiern.