Beschreibung: Ein fremdes Geschäft bestätigt eine Anfrage, die es nie gab. In der Mail stehen ein angeblich riesiges Kryptoguthaben und ein verdächtiger Link. So werden Kontaktformulare als Verteiler missbraucht.
Antwort: Ein Dritter könnte deine Adresse in ein öffentliches Formular eingetragen haben, damit die automatische Antwort die Betrugsbotschaft transportiert. Die E-Mail allein beweist keinen Zugriff auf dein Postfach.
Vielen Dank für Ihre Anfrage. Welche Anfrage?
Ein Restaurant, das du nie kontaktiert hast, verspricht eine Antwort. Höflich, aber du hast nicht einmal nach der Speisekarte gefragt. Im Namensfeld steht Buchstabensalat, im Text ein angeblich riesiges USDT-Guthaben mit Link. Statt Essen wird eine Falle geliefert.
Dieses Muster passt zum Missbrauch automatischer Formularantworten. Wer dahintersteckt, ob ein Bot verwendet wurde und woher die Adresse stammt, bleibt offen. Das Restaurant muss kein Komplize sein.
Ein unfreiwilliger Kurier in vier Schritten
- Ein Dritter öffnet ein öffentliches Kontaktformular.
- Er trägt die Adresse eines anderen Menschen und eine Lockbotschaft ein.
- Die Website verschickt automatisch eine Bestätigung mit den eingegebenen Angaben.
- Der Empfänger erhält eine Mail vom echten Geschäft, aber mit betrügerischem Inhalt.
Geschäft: „Danke für Ihre Nachricht.“ Empfänger: „Ich habe nichts geschrieben!“ Betrüger: „Zugestellt.“ Niemand versteht den anderen, aber der Zustelldienst funktioniert.
Japans Informationssicherheitsbehörde IPA dokumentierte 2020 einen anderen Fall mit über 100.000 schädlichen Mails durch solche Antworten. Die Zahl beschreibt nicht diesen einzelnen Vorfall.
Wurde mein E-Mail-Konto gehackt?
Das lässt sich daraus nicht schließen. Viele Formulare erlauben beliebige Rücksendeadressen, ohne die Eigentümerschaft zu prüfen. Die Adresse könnte aus öffentlichen Quellen, älteren Datenlecks oder anderen Listen stammen; welcher Weg es war, ist unbekannt.
Unbekannte Anmeldungen, verdächtige Nachrichten im Gesendet-Ordner oder geänderte Einstellungen wären zusätzliche Gründe für eine Kontoprüfung.
Was können Empfänger und Betreiber tun?
Klicke nicht auf den Link und versuche nicht, das angebliche Guthaben abzuholen. Melde die Nachricht als Spam oder Phishing und lösche sie. Prüfe echte Konten über eine bereits bekannte offizielle Website oder App; bei Wiederholung können Betreff und Datum als Nachweis dienen.
Website-Betreiber sollten prüfen, ob automatisch versandte Antworten wirklich Namen, Freitext und Links der Besucher wiederholen müssen. Bot-Schutz und Versandbegrenzungen helfen ebenfalls. Contact Form 7 warnt ausdrücklich vor dieser Gefahr, ohne dass daraus folgt, dass das betroffene Geschäft diese Software nutzte.
Die Pointe mit dem Lieferdienst
Der Empfänger wird belästigt, das Geschäft riskiert Ruf und Mailzustellung, und der Angreifer bekommt einen Kurier umsonst. Niemand hat Essen bestellt, aber Phishing wurde frei Haus geliefert. Bitte zurück in die Küche.
Quellen: Japanische IPA, Bericht 2020, Abschnitt 5 · Warnung von Contact Form 7 · FTC-Leitfaden zu Phishing
