Eine Beschwerde von Troy Hunt, einer der bekanntesten Persönlichkeiten der IT-Sicherheitsszene, schaffte es erneut auf die Startseite von Hacker News und löste fast 200 Upvotes sowie über 40 Kommentare aus: Offizielle E-Mails von FedEx sehen verdächtiger aus als echte Phishing-Mails von Betrügern.
Troy Hunt ist der Gründer von “Have I Been Pwned”, einer Website, mit der Nutzer überprüfen können, ob ihre Kontodaten bei Datenlecks offengelegt wurden. Er gehört zu den weltweit angesehensten Experten für Cybersicherheit. Im Februar 2024 schrieb er seine persönlichen Erfahrungen unter dem Titel „Thanks FedEx, this is why we keep getting phished“ nieder. Dass der Artikel zwei Jahre später wieder auf der Frontpage von Hacker News landete, zeigt, dass sich an dem Problem rein gar nichts geändert hat.
Was passiert ist
Troy wartete damals auf einen 3D-Drucker aus den USA im Wert von 799 USD (ca. 1.215 AUD), für den möglicherweise Einfuhrzölle beim australischen Zoll anfielen. Dann erhielt er folgende SMS:
„FedEx-Benachrichtigung: Für Ihr Paket 216.21 ist eine dringende Zahlung von Zöllen und Steuern in Höhe von 216.21 erforderlich, um die Zustellung zu veranlassen. Bitte zahlen Sie heute unter dem folgenden Link.“
Abb.: Von FedEx offiziell versendete Zoll-Zahlungs-SMS. Quelle: troyhunt.com
Man beachte die Zahlen: Die Paketnummer lautete 216.21, und der zu zahlende Betrag betrug ebenfalls 216.21. Dass Paketnummer und Betrag exakt identisch sind, ist an sich schon ein gewaltiges Warnsignal. Zudem führte der Link zu bpoint.com.au – einer Zahlungswebsite, die klanglich sofort Erinnerungen an Phishing-Seiten weckt.
Troy veröffentlichte einen Screenshot der SMS auf X (ehemals Twitter) und bat über 4.000 Follower um eine Einschätzung. 87 % der Teilnehmer stimmten ab: „Höchst verdächtig“. Er fasste 7 Warnsignale zusammen: falsche Groß-/Kleinschreibung des Markennamens, ungewöhnlich kurze Paketnummer, drängender Tonfall, fehlende Währungsangabe, Link-Domain nicht von FedEx und Grammatikfehler.
Abb.: Phishing-SMS von Betrügern wegen angeblicher Adressfehler. Quelle: troyhunt.com
Vergleicht man dies mit SMS von Betrügern – „Ihr Paket wird wegen einer falschen Adresse zurückgehalten, bitte dringend korrigieren“ –, unterscheiden sich Formulierung, Tonfall und Linkformat kaum voneinander.
Das Ergebnis? Die offizielle E-Mail war echt.
Troy überprüfte die offizielle FedEx-Website, konnte dort jedoch keinerlei Informationen zu Zöllen finden. Ein Anruf beim Kundenservice führte in eine Endlosschleife des Sprachcomputers, der genau die Nummer empfahl, die er gerade angerufen hatte. Drei Tage später lag eine E-Mail in seinem Posteingang: Im Text hieß es, das Paket werde wegen anfallender australischer Einfuhrzölle zurückgehalten, die FedEx im Auftrag der australischen Regierung einziehe. Der Betrag stimmte überein, und der Link führte erneut zu bpoint.com.au.
Abb.: Text der offiziellen FedEx-E-Mail, der fast identisch mit Phishing-Nachrichten ist. Quelle: troyhunt.com
Der E-Mail war zudem eine PDF-Datei beigefügt – die vollständige Rechnung des gekauften 3D-Druckers mit Bestellnummer, Preis und Logistikdaten. Betrüger hätten darauf keinen Zugriff gehabt. Die 87 % der Nutzer hatten sich getäuscht: Die „höchst verdächtige“ Nachricht stammte tatsächlich von FedEx selbst.
Warum sehen offizielle Nachrichten so aus?
Betrachten wir zunächst die technische Ebene. Das Absenderfeld bei SMS und E-Mails wurde seit dem Design des Systems nie verifiziert. Wenn dort „FedEx“ steht, garantiert das keineswegs, dass die Nachricht von FedEx stammt. Diese Schwachstelle existiert seit der Erfindung der E-Mail. Später führte die Industrie zwei Lösungen ein: SPF und DKIM. Damit können Domaininhaber im System erklären, dass nur bestimmte Server in ihrem Namen senden dürfen, was vom Empfänger überprüft wird.
Diese beiden Protokolle lösen viele Probleme, haben aber einen entscheidenden Nachteil: Je erfolgreicher sie arbeiten, desto unsichtbarer sind sie für den Nutzer. Ein gewöhnlicher Anwender sieht beim Öffnen einer E-Mail nur Absendername, Betreff und Formatierung. Die Prüfungsergebnisse von SPF und DKIM liegen versteckt im Header. Sicherheitsschulungen raten Nutzern stets, „auf die Absenderadresse zu achten“, obwohl genau diese technisch am leichtesten zu fälschen ist.
Hinzu kommen organisatorische Gründe. In den Hacker-News-Kommentaren gab es eine plausible Vermutung: Die FedEx-Zentrale erlaubt es Tochtergesellschaften wahrscheinlich nicht, die Hauptdomain fedex.com für die lokale Steuererhebung zu nutzen. Die Zollabwicklung wurde daher an den australischen Zahlungsdienstleister BPoint (eine Tochtergesellschaft der Commonwealth Bank) ausgelagert. Das Ergebnis: Der Zahlungslink liegt auf einer völlig unbekannten Domain ohne Bezug zu FedEx und sieht exakt wie eine Phishing-Seite aus.
In Großkonzernen arbeiten Abteilungen oft isoliert voneinander. Das Marketing will Konversionsraten, die operative Ebene will Gelder einziehen, und das Sicherheitsteam will Vertrauen. HN-Nutzer bezeichnen dies als „Schatten-IT“: Eine Fachabteilung baut eigenmächtig ein Benachrichtigungssystem auf, um Fristen einzuhalten. Wenn auffällt, dass man eigentlich die Unternehmensdomain nutzen sollte, ist das Budget bereits verbraucht.
Schließlich spielt das Marketing eine Rolle: Dringlichkeit verkauft sich gut. Formulierungen wie „Dringend“, „Letzte Chance“ oder „Sofort handeln“ erzielen die höchsten Öffnungsraten. Das Marketing nutzt diese Methoden seit Jahrzehnten und gibt sie nicht auf, nur um weniger wie Phishing auszusehen. Die Bemühungen der Sicherheitsteams werden dadurch regelmäßig zunichte gemacht.
Warum Anti-Phishing-Schulungen immer schwerer werden
Wenn Betrüger offizielle Nachrichten imitieren und offizielle Stellen wie Betrüger auftreten, wird das Konzept des „offiziellen Vertrauens“ zermalmt. Bei Anti-Phishing-Schulungen geht es im Kern darum, den Blick für Falschgeld zu schärfen. Wenn jedoch die Banken selbst Geld drucken, das wie Falschgeld aussieht, funktioniert der Unterricht nicht mehr.
Die HN-Kommentare sind voll von Beispielen: SMS von Versicherungsgesellschaften mit Links zu Domains wie allstate.yem.bo; interne Phishing-Schulungen, bei denen spätere echte Schulungs-E-Mails von der gesamten Belegschaft ignoriert wurden, weil sie alle Merkmale einer Phishing-Mail aufwiesen; Ungewissheit darüber, ob facebookmail.com offiziell ist; oder Sprach-KIs beim US-Finanzamt IRS, die exakt wie Robocalls von Betrügern klingen.
In Troys Artikel wird eine Zahl genannt: Australier verlieren jährlich über 3 Milliarden AUD durch Betrug. Die australische Kommunikationsbehörde blockierte 336 Millionen Phishing-SMS – doch das ist nur die Spitze des Eisbergs.
Was ist die größte Ironie an der Sache?
Im Zeitalter der künstlichen Intelligenz, in dem KI-generierte Phishing-E-Mails immer schwerer zu erkennen sind, imitiert FedEx Betrüger in Perfektion. Troy Hunt formulierte es so: FedEx sagte sinngemäß zu den Betrügern: „Aus dem Weg, schaut mir zu“, und lieferte eine perfekte Punktlandung ab, ununterscheidbar von echtem Phishing zu sein.
Die Diskussion zeigt: Das ist kein Einzelfall bei FedEx. Microsoft, PayPal, Steuerbehörden und Versicherer stellen Betrügern unfreiwillig kostenlose Vorlagen bereit. Zwei Jahre später sehen FedEx-SMS noch immer so aus, und auf Hacker News teilen Nutzer weiterhin Screenshots ihrer neusten „Zollbenachrichtigungen“.
Anti-Phishing-Schulungen bleiben wichtig, aber sie kämpfen gegen Unternehmen an, die Vertrauen für Klickzahlen opfern. Erst wenn offizielle E-Mails wieder wie offizielle E-Mails aussehen, haben Schulungen ein solides Fundament. Bis dahin gilt bei SMS über nicht zugestellte Pakete nur eine Regel: Niemals auf den Link klicken, sondern die offizielle Website selbst aufrufen.
Referenzlinks:
- Troy Hunt: Thanks FedEx, This Is Why We Keep Getting Phished
- HN-Diskussion (item?id=49175192)
