HASPA-Kunden aufgepasst: gefälschte SMS für angebliches S-CERT-Verfahren im Umlauf

Viele Hamburger haben in den letzten Tagen eine SMS bekommen, die angeblich von der Haspa stammt und auf eine verpasste Anmeldefrist hinweist – man müsse schnell handeln, sonst werde das Konto eingeschränkt. Diese SMS stammt nicht von der HASPA, der enthaltene Link sollte nicht angeklickt werden.

Sehr geehrter Kunde,

leider haben Sie die Anmeldefrist für das S-CERT Sicherheitsupdate verpasst.
Ihre Anmeldung zum [sehr knappe Frist, Anm. d. Red.] ist verpflichtend. Andernfalls sind elementare Kontofunktionen nur noch eingeschränkt nutzbar.

Für die S-CERT Umstellung nutzen Sie bitte folgeneden Link: [Link entfernt, Anm. d. Red.]

Ihre Hamburger Sparkasse

So lautet eine SMS, die derzeit massenhaft verschickt wird, die SMS kommt von dem Absender „Haspa“. Die HASPA hat mit der SMS allerdings genau so viel am Hut, wie der Bäcker von nebenan. Es handelt sich dabei um eine Phishing-SMS, mit dem die Absender versuchen, in den Besitz vertraulicher Daten zu gelangen.

Wer den angegebenen Link anklickt, gelangt auf eine Website, die der der HASPA optisch – bis auf die Inhalte – identisch nachgebaut ist:

Wenn man auf der gefälschten Website seine Daten eingibt, kommt man in einem zweiten Schritt zu einem Fenster, welches weitere persönliche Daten abfragt:

• Name
• Geburtsdatum
• 10-stellige Kennnummer der HASPA-Karte

Wer in die Falle getappt ist, muss nicht in Panik verfallen. Die HASPA erklärt dazu: „Mit den hier abgefragten Informationen kann zwar direkt noch nichts weiter „angestellt“ werden. Sie dienen aber als Grundlage dafür, um an weitere persönliche Daten zu gelangen“.

In jedem Fall sollte man sofort sein Onlinebanking-Passwort ändern und seinen Bankberater ansprechen. Es ist zwar möglich, dass der Angreifer Kontoinformationen abrufen kann, also beispielsweise die Umsätze, und Daueraufträge einsehen kann, aber es können keine Überweisungen getätigt werden.

Auf der – echten – Website der HASPA finden sich auch noch ergänzende Informationen zu Phishing-SMS.

Auch vor Viren oder Trojanern braucht man keine Angst haben, die gefälschte Website ist – Stand heute – frei von Viren und Trojanern. Wir haben mit der Veröffentlichung dieses Artikels Google über den Vorfall informiert, denn dort hosten die Angreifer die Website. Google reagiert üblicherweise sehr schnell auf solche Hinweise und dürfte die Website schon bald vom Netz nehmen.

Übrigens: das S-CERT-Verfahren ist kein Verfahren, mit dem Kunden in Kontakt kommen und in diesem Zusammenhang frei erfunden. Es handelt sich dabei um das Computer-Notfallteam der HASPA.