Die E-Mail “Roundcube Mailbox ist fast voll” ist ein Phishing-Betrug zum Diebstahl von Zugangsdaten, der sich als Roundcube Webmail ausgibt. Sie wird als automatisierte Speicherwarnung präsentiert und versucht, den Empfänger davon zu überzeugen, dass sein Postfach seine maximale Kapazität erreicht. Die Benachrichtigung ist gefälscht, und Roundcube hat keine Verbindung zur Kampagne. Die Warnung wird als Vorwand genutzt, um Opfer auf eine Phishing-Login-Seite zu schicken.
Die untersuchte Version verwendet den Betreff “Mailbox storage full” und teilt dem Empfänger mit, dass sein Postfach 1.993 MB einer Quote von 2.000 MB erreicht hat. Es wird außerdem behauptet, dass die Nutzung eine 90%-Warnschwelle überschritten hat. Laut der Nachricht könnte das Erreichen der maximalen Kapazität verhindern, dass das Konto zusätzliche E-Mails erhält. Diese spezifischen Zahlen helfen dabei, dass die E-Mail der Art technischer Speicherbenachrichtigung ähnelt, die ein Webmail-Nutzer erwarten könnte.
Die Nachricht fragt den Empfänger nicht sofort nach einem Passwort. Stattdessen wird sie angewiesen, unnötige E-Mails zu entfernen und ihre Papier- und Junk-Ordner zu leeren, was das Szenario plausibler erscheinen lässt. Der gefährliche Teil ist ein Button mit der Aufschrift “Roundcube öffnen & Briefkasten aufräumen”. Anstatt die legitime Roundcube-Oberfläche des Empfängers zu öffnen, leitet dieser Button den Nutzer zu einer Phishing-Website, speziell zu rehier.de. Die Seite wurde so gestaltet, dass sie einem legitimen Roundcube-Webmail-Anmeldebildschirm ähnelt. Die Phishing-Seite extrahierte außerdem die E-Mail-Adresse des Opfers aus der URL und fügte sie automatisch im Benutzernamensfeld ein. Dieses kleine Detail kann die Seite glaubwürdiger erscheinen lassen, weil das Opfer auf ein Formular kommt, das wie ein personalisiertes Anmeldeformular mit seiner bereits angezeigten Adresse angezeigt wird.
Das Passwortfeld ist die eigentliche Falle. Jedes Passwort, das über diese Seite eingegeben wird, wird den Betrügern zur Verfügung gestellt, anstatt zur Authentifizierung bei Roundcube verwendet zu werden. Das bedeutet, dass ein Opfer den Zugriff auf sein Briefkasten abgeben kann, während es glaubt, sich nur anzumelden, um die Speicherung zu verwalten.
Die Folgen können weit über das E-Mail-Konto hinausgehen. Ein Posteingang kann private Unterhaltungen, Rechnungen, Kontobenachrichtigungen, Passwort-Zurücksetzungs-Nachrichten, Geschäftsdokumente und Informationen über andere vom Eigentümer genutzte Dienste enthalten. Angreifer, die das Postfach kontrollieren, können es daher nach wertvollen Informationen durchsuchen oder es nutzen, um weitere Konten zu kompromittieren. Sie können auch Passwort-Zurücksetzungen für Dienste anfordern, die mit der betroffenen E-Mail-Adresse verbunden sind, und die daraus resultierenden Wiederherstellungsnachrichten abfangen.
Ein gestohlener Briefkasten kann auch zur Vortäuschung verwendet werden. Nachrichten, die von einem bestehenden Konto gesendet werden, werden eher von Kollegen, Kunden, Freunden oder Verwandten vertraut als Nachrichten von einer unbekannten Adresse. Folglich kann die Kontrolle eines Kontos Betrügern die Möglichkeit geben, weitere betrügerische Nachrichten zu verbreiten, während sie sich als legitimer Eigentümer ausgeben.
Es ist wichtig, diese betrügerische Kampagne von echten Mailbox-Quoten-Benachrichtigungen zu unterscheiden. Mailserver können Benutzer legitim warnen, wenn ihr verfügbarer Speicherplatz knapp wird. Gerade die Existenz echter Quotenwarnungen macht diese Art von Phishing-Lockmittel glaubwürdig. Das relevante Problem bei der Kampagne “Roundcube Mailbox ist fast voll” ist, dass ihr Button die Empfänger zu einer nicht verwandten Phishing-Domain führt und nicht zu ihrem legitimen Webmail-Dienst.
Die vollständige ” Roundcube – Your mailbox is almost full Phishing-E-Mail” finden Sie unten:
Subject: Mailbox storage full
Roundcube
Mailbox NotificationYour mailbox is almost full
Please remove unnecessary messages to free up space.Hello –
Your mailbox has reached (1,993) MB, which is over (90)% of your (2,000) MB mailbox quota.
Mailbox usage (1,993) MB / (2,000) MBCurrent usage 1,993 MB
Mailbox quota 2,000 MB
Warning threshold 90%To free up space, delete messages you no longer need and empty your Trash and Junk folders.
If your mailbox reaches its maximum quota, you may no longer be able to receive new messages.
[Open Roundcube & Clean Up Mailbox]
Roundcube Webmail
This is an automated mailbox notification. Please do not reply to this message.
Wie erkennt man bösartige E-Mails wie “Roundcube Mailbox ist fast voll”
Der stärkste Hinweis darauf, dass diese spezielle Nachricht betrügerisch ist, ist das Ziel hinter dem Briefkasten-Aufräum-Button. Ein Empfänger, der eine Speicherwarnung erhält, sollte nicht davon ausgehen, dass ein Link vertrauenswürdig ist, nur weil die E-Mail Roundcube-Branding enthält. In der analysierten Kampagne führt das Klicken auf den Button das Opfer zu rehierl.de, nicht zu seiner eigentlichen Roundcube-Webmail-Installation.
Links sollten daher vor ihrer Öffnung geprüft werden. Auf einem Desktop-Computer kann das Fahren über einen Button oder Hyperlink das Ziel anzeigen. Eine URL, die zu einer unbekannten Domain gehört, ist ein bedeutendes Warnsignal, wenn die Nachricht angeblich ein bestehendes E-Mail-Konto betrifft. Anstatt dem angegebenen Button zu folgen, können Nutzer unabhängig über die von ihnen übliche Adresse auf den Webmail-Dienst zugreifen.
Die Formulierung der Nachricht sollte zusammen mit dem Link berücksichtigt werden. Diese Kampagne erzeugt Druck, indem sie behauptet, der Postfach sei fast am Limit und könnte bald keine neuen Nachrichten mehr annehmen. Die Warnung ist wirksam, weil sie ein glaubwürdiges betriebliches Problem mit einer offensichtlichen Konsequenz darstellt: fehlende eingehende E-Mails. Doch Dringlichkeit beweist keine Authentizität. Unerwartete Kontowarnungen sollten unabhängig überprüft werden, bevor die Zugangsdaten irgendwo eingegeben werden.
Die gefälschte Login-Seite selbst bietet eine weitere Gelegenheit, den Angriff zu erkennen. Ein überzeugendes Design oder eine vorab ausgefüllte E-Mail-Adresse beweist nicht, dass eine Website echt ist. In dieser Kampagne kann die Adresse des Opfers aus der URL erhalten und automatisch in das Benutzernamefeld eingefügt werden. Nutzer sollten daher die Domain der Seite prüfen, bevor sie ein Passwort eingeben, selbst wenn ein Anmeldeformular bereits ihre E-Mail-Adresse kennt.
Auch die Absenderinformationen verdienen Aufmerksamkeit. Der sichtbare Absendername kann so gestaltet werden, dass er einem Webmail-Administrator oder einem automatisierten Benachrichtigungssystem ähnelt, daher sollte er nicht als Ursprungsnachweis behandelt werden. Das Überprüfen der vollständigen Sendeadresse und Domain kann Inkonsistenzen zwischen der Angebung der Nachricht und ihrem tatsächlichen Ursprung aufdecken.
Empfänger sollten außerdem bedenken, dass Roundcube ein Open-Source-Webmail-Client ist und nicht die Organisation, die jedes E-Mail-Konto betreibt, das seine Schnittstelle verwendet. Ein legitimes Speicherlimit kann von der Organisation oder dem Hosting-Anbieter konfiguriert werden, der den zugrunde liegenden Maildienst betreibt. Daher sollte eine unerwartete Nachricht mit dem Namen von Roundcube über das normale Webmail-Portal oder den Administrator des Nutzers verifiziert werden, anstatt über einen eingebetteten Link.