Vorschussbetrug - Das Schlagzeuginserat

Da Vorschussbetrug ein weites Feld ist, haben wir dem Thema ist eine eigene Seite in diesem Wiki gewidmet. Ein Fall aber hat unsere Aufmerksamkeit erregt und wird im Folgenden ausführlich beschrieben und dokumentiert.

Die Vorgeschichte ist schnell erzählt: Ein Kollege hat ein Schlagzeug bei der Inseratenplattform willhaben.at eingestellt. Ein gewisser jackmorris144 (tatsächlich steckt eine ganze Betrügerbande hinter sowohl dieser als auch einer Reihe anderer Mailadressen) meldete sich darauf, benahm sich verdächtig und wurde zum Untersuchungsobjekt. Schlussfolgerungen und Auszüge aus unserer Korrespondenz sind im Folgenden wiedergegeben.

Der Clou

Der Betrug funktioniert folgendermaßen:

• Betrüger bahnen das Geschäft an.
• Eine gefälschte Paypal-Mitteilung macht das Opfer glauben, dass es den vereinbarten Kaufpreis samt Frachtkosten erhalten hat.
• Das Opfer bezahlt vermeintlich die Spedition, tatsächlich aber die Betrüger. Das ist deren Gewinn.
• Das Opfer kann die "Frachtkosten" nicht zurückerhalten, da durch Zwischenschalten eines Geldtransferdiensts der Verbleib des Geldes unausforschbar wurde.

Die Vorgangsweise der Betrüger

Vorab wird nach Inseraten gesucht, wo etwas angeboten wird, das

• schwer und/oder sperrig ist, sodaß sein Versand erhebliche Frachtkosten verursacht (z.B. Autos, Maschinen)
• so wertvoll ist, daß es plausibel ist, daß jemand diese Frachtkosten bezahlen möchte.

Sodann wird die/der Inserent/in kontaktiert und gefragt, ob "es" noch zu haben ist.

Der weitere Kontakt erfolgt per Mail, die nicht individuell verfasst wird, sondern aus fixen Vorlagen besteht. Der Plan ist einfach und sieht vier Phasen der Überredung vor:

Die Betrüger ordnen Mails ihrer Opfer einfach dem dafür vorgesehenen Textbaustein zu und verschicken ihn. Darüberhinaus wird das, was das Opfer sagt oder fragt, nicht weiter beachtet. Das vereinfacht die Organisation gewaltig, ermöglicht einen beliebig großen Mitarbeiterstab ohne besondere Qualifikation und vermeidet Skalierungsprobleme.

Es ist erstaunlich, wie wenig Mühe sich die Betrüger geben, normal und vertrauenswürdig zu erscheinen. In den Textbausteinen wird der Kaufgegenstand immer nur als "it" bezeichnet; um ihn zu benennen bräuchte es entweder ein Verzeichnis der Transaktionen oder genaues Lesen des Texts. Dank dieser Rationalisierungsmaßnahme konnten wir jederzeit mit beliebigen Namen und Absenderadressen in eine beliebige Phase der Transaktion einsteigen und beliebige Phantasiegegenstände feilbieten, obwohl sie niemals inseriert waren.

Die eigentlich recht plumpe und leicht als verdächtig zu erkennende Vorgangsweise samt schlechtem Englisch und Rechtschreibfehlern mag dumm und ungebildet anmuten, ist aber vielleicht einfach nur schlau: Es spart Arbeitszeit und Kosten, aufmerksame und medienkompetente Zeitgenossen, die auf den Betrug ohnehin nicht reinfallen würden, möglichst früh auszusieben ⁽¹⁾

Textbeispiele

Die folgenden Textbeispiele entstammen unseren Testnachrichten an die Betrüger und deren Antworten⁽²⁾.

Anbahnung

Im vorliegenden Fall erfolgte die Kontaktaufnahme über ein Webformular der Inseratenplattform.

Bei Western Union und willhaben.at ist man sich des Problems bewußt. Western Union haben zur Information ihrer Kunden eine ausführliche Webseite eingerichtet . Der Gratisdienst willhaben.at gibt in den Kontaktmails "wichtige Tipps zum sicheren Verkaufen", geht aber nicht so weit, auffällige oder gemldete Interessenten zu sperren oder sich mit anderen Plattformen zu diesem Zweck zu vernetzen.

Die IP-Adresse, von der das Webformular abgesendet wurde, liefert übrigens keine hilfreichen Hinweise auf die Täter.

Phase 1: Interesse am Artikel vorspielen

Hier wird deutlich, dass der vorgebliche Käufer nicht ernsthaft an einem Geschäft interessiert ist:

• Es fällt ihm nicht auf, dass statt des Schlagzeugs nun Sargnägel angeboten werden
• Wer kauft überhaupt Sargnägel?
• Der Preis stand bereits im Inserat, dennoch wird erneut danach gefragt
• Daß der Verkäufer, der laut Mail-Header Alexander Talos-Zens heißt, als "Franz" unterschreibt, löst keine Rückfragen aus

Phase 2: Kaufverhandlungen simulieren

Nachdem der Verkäufer den Artikel "ausführlich" beschrieben hat und somit von der Redlichkeit des Interessenten überzeugt wurde, soll das eigentliche Geschäft möglichst schnell abgeschlossen werden. Für eine Zusage braucht der Betrüger nur noch einen ausdrücklich genannten Preis, genau nach diesem fragt er nun.

Phase 3: Kaufen und angebliche Paypal-Transaktion initiieren

Den Betrügern liegt nun ein konkretes Angebot vor, das sie natürlich annehmen. Um ja keine Zweifel aufkommen zu lassen, kündigen die Betrüger Vorauszahlung per E-Bay und Abholung per Sepedition an.

Phase 4: Abkassieren

Aus Sicht der Betrüger hat der Plan funktioniert, der Verkäufer hat angebissen. Die erste Reaktion ist noch schlichten Stil der bekannten Standardtexte, aber danach wird der Fall mit viel mehr Aufwand (möglicherweise von einem anderen Team) bearbeitet. Etwa nach zwei Stunden folgte eine Eingangsbestätigung "von Paypal":

From: "service@intl.paypal.com" <pay_transfer@consultant.com> Sender: jackmorris144@gmail.com To: Norbert Ulpen <nulpen@univie.ac.at> Subject: Notification of An Instant Merchandise Payment From Jack Morris (Transaction ID-4WR6072127779652U) You've got new funds!!! (Transaction ID-4WR6072127779652U) Hello Norbert Ulpen, (nulpen@univie.ac.at), This email confirms that you have received an Instant payment of €1.150,00 EUR from Jack Morris (jackmorris144@gmail.com). Reversals : This method of payment can not be reversed. Status : Pending - Transport Company Awaiting Payment. View the "NOTE" of this pending transaction below Payment Details Merchandise Amount €1.400,00 EUR Transport Charges:Total: €750,00 EUR €1.150,00 EU Transaction: 4WR6072127779652U Quantity: 1 MERCHANDISE Title: NewSound Deluxe - Purchase Transport Company: " COURIER EXCHANGE " Receiver's Name: Address: Name: Kent Freeman Address : 2270 Markham Road Wall City: London Postal Code : : W1F 7BR Country : United Kingdom. Address Status: Confirmed NOTE: This is to confirm to you that the said amount has been successfully transferred by the Sender and been deducted from his Account which is ready to be credited into your account, been that this Payment has been subjected to be a Payment for an MERCHANDISE purchased from you, we reserve the right to make sure this transaction is safe and secured also to verify the legitimacy level on this transaction because of the high sum of funds involved.The above sum has Included the transport charges and taxes as we and the Transport Company quoted for the buyer (as per PayPal MERCHANDISE PAYMENT POLICY). You will receive a Message from the PayPal Customer Verification Department Shortly informing you on how to send the Transport fares and taxes to the transport company with the above details as soon as possible. You may contact PayPal customer service by Clicking Here reply directly to this email by using the reply button in your Mail Box and Quote the Above Transaction ID for quick recognition of this transaction ID or reference number (PP1525) quick recognition of this transaction. Copyright © 1999-2012 PayPal. All rights reserved.PayPal (Europe) S.à r.l. & Cie, S.C.A.Société en Commandite par ActionsRegistered Office: 5th Floor 22-24 Boulevard Royal L-2449, Luxembourg RCS Luxembourg B 118 3491 PayPal EMail-ID PP1525

Bemerkenswert: Man hat sich die Mühe gemacht, die Bezeichnung des Schlagzeugs "NewSound Deluxe" (vermutlich anhand des Subjects) zu eruieren.

Die Fälschung mag, solange man nur auf den Nachrichtentext schaut, eindrucksvoll, vielleicht sogar überzeugend gestaltet sein. Nüchtern betrachtet ist sie primitiv ausgeführt:

• Die Adressen im Absenderfeld laute (es gab verschiedene Versionen) PayPal Int'l(c) <transfer@secure-team.us> bzw. "service@intl.paypal.com" <pay_transfer@consultant.com>. Dass die nicht von Paypal sind, ist leicht erkennbar⁽³⁾.
• Im Sender:-Feld, das allerdings nicht jeder Mailklient ohne weiteres anzeigt, stand jackmorris411@gmail.com bzw. anneantonia15@gmail.com.
• Die Paypal-Bestätigung wird nicht an die "Paypal Adress" opfer@univie.ac.at geschickt, obwohl so theatralisch danach gefragt wurde, sondern einfach an nulpen@univie.ac.at.
• Bei der Rechnung 1400 + 750 = 2150 wurde der Übertrag vergessen und nur 1150 Euro "überwiesen". Auf der anderen Seite sind 1400 Euro um 200 Euro mehr als verlangt...
  In einem anderen Versuch, wo nochmals "two Luftschloss at 1200 EUR each" angegeben waren, hat man die Multiplikation mit zwei vergessen.

Wer Bedenken hat, möchte natürlich sichergehen und bei Paypal rückfragen. Die Kontaktadresse dafür muß man sich aber aus einer unabhängigen Quelle beschaffen und keineswegs der Mail entnehmen, die man ja überprüfen möchte. Auf den Link "You may contact PayPal customer service by Clicking Here" sollte man nicht hereinfallen: Der führt nämlich zu ''pay_transfer@consultant.com'' und unter dieser Adresse antworten natürlich unsere Betrüger (siehe Beispiel unten).

Nur der Vollständigkeit halber: PayPal (das echte) ist natürlich in keiner Weise in die Angelegenheit involviert und hat auch keinerlei Sicherheitslücken oder dergleichen.

Etwa eine halbe Stunde später kam eine weitere Nachricht "von Paypal":

From: "service@intl.paypal.com" <pay_transfer@consultant.com> Sender: jackmorris144@gmail.com To: Norbert Ulpen <nulpen@univie.ac.at> Subject: Important Information Your Recent Transaction (Transaction ID-4WR6072127779652U) You've got new funds!! (Transaction ID-4WR6072127779652U) Hello Norbert Ulpen, (nulpen@univie.ac.at), You have received a PayPal Payment of €2.150,00 EUR from Jack Morris (jackmorris144@gmail.com).  We've placed a temporary hold on the funds of this transaction As mentioned in the receipt of Payment and as per New PayPal Payment policy, we have fully debited the total amount (above) from the buyer's account which included the Transport/Delivery Charges " COURIER EXCHANGE "  In order to complete this transaction and get the funds approved in your account. We advice you go to nearest Western Union Office,and send the excess sum of €750,00 EUR to the Transport Agent and send us a Scanned Copy/Photograph of your Western Union Transaction Receipt (in .JPG Format). NOTE: This is important as a security measure to ensure safety of this transaction. And also that the shipper address is changed. Please, find below the name and address of the Transport Agent where the Funds would be sent via Western Union Money Transfer. Click Here Locate Nearest Western Union  Office Transport Company: " COURIER EXCHANGE " Receiver's Name: Address: Name : Kent Freeman Address : 2270 Markham Road Wall City : London Postal Code : W1F 7BR Country : United Kingdom. Address Status: Confirmed  Your Account will be credited accordingly upon the receipt of details requested. Should either be sent in JPG format or send type details as: (1) Sender's Name;  (2) Receiver's Name;  (3) MTCN;  (4) Amount Sent; (5) Western Union Receipt You may contact PayPal customer service by Clicking Here reply directly to this email by using the reply button in your Mail Box and Quote the Above Transaction ID for quick recognition of this transaction ID or reference number (PP1525) quick recognition of this transaction. Copyright © 1999-2012 PayPal. All rights reserved. PayPal (Europe) S.à r.l. & Cie, S.C.A. Société en Commandite par Actions Registered Office: 5th Floor 22-24 Boulevard Royal L-2449, Luxembourg RCS Luxembourg B 118 3491 PayPal EMail-ID PP152

Das erklärt, warum auf dem Paypal-Konto noch nichts gutgeschrieben ist: Paypal selbst (angeblich) wartet auf die Bestätigung, dass die "Spedition" bezahlt wurde.

Um nur ja nichts anbrennen zu lassen, meldet sich Jack Morris 10 Minuten später und wiederholt das Wesentliche in einfacheren Worten:

Das sollte nach Ansicht der Betrüger ausreichen, um die Zahlung per Western Union zu bewirken. Interessanterweise gab es von deren Seite aus keine Nachfragen nach der verbliebenen Ware oder dem verbliebenen Geld.

Challenges

Uns hat auch interessiert, wie flexibel die Betrüger auf unplanmäßige Ereignisse reagieren können.

Kaufpreis fehlt

Um zu Schritt 4/Abkassieren überzugehen, fehlte der Betrag in der Testmail. Die Antwort ist nur mit gutem Willen als passend zu interpretieren. Interessanterweise wird nicht nach der "home address for it to be Picked Up by the Shipping Company" gefragt.

Kauf perfekt, aber alle Angaben fehlen

Diesmal wurden alles weggelassen, was für Phase 4/Abkassieren erforderlich wär. Hat die Person, die diese Nachricht bearbeitet hat, erkannt, dass der Verkäufer ungeduldig wird? Jedenfalls hat man sich die Mühe gemacht, die fehlenden Daten aus der bisherigen Korrespondenz herauszusuchen.

Ich bring's vorbei...

Offenbar mag Jack kein Bier.

Auf meinem PayPal-Konto sehe ich nichts!

Besorgte Rückfragen beim "Käufer" sind offenbar im Plan vorgesehen.

Rückfrage bei "PayPal"

From: "service@intl.paypal.com" <pay_transfer@consultant.com> Sender: anneantonia15@gmail.com To: Norbert Ulpen <nulpen@univie.ac.at> Subject: Transaction Match Found - Awaiting Western Union Details (Transaction ID-3CP879375C758570E) Powered by About the PayPal Payment Dear Norbert Ulpen, Thank you for contacting us regarding your Transaction with Jack Morris. The Transaction will appear as soon as the western union information is received from you. We want to Notify you that a payment of €2.200,00 EUR for a merchandise has been deposited into our database by Jack Morris and is ready to be credited into your account, the Money was sent through the Service Option Secure Payment so that the Transaction can be protected with adequate security measures for you to be able to receive your money. You have nothing to doubt about, You are safe and secured doing this transaction and your account will be credited immediately the western union receipt of €950,00 EUR is received from you. You need to understand the fact that you have to provide the fund from your own pocket and send it to the agent, Then get back to us with the western union receipt for the verification and immediate remittance of your account.The conversion will also be made after payment is cleared. So therefore, all you have to do now is to proceed to send the €950,00 EUR from your pocket through Western Union Money Transfer to the confirmed shipper address and make sure you contact us with the Necessary Western Union details so that we can verify it and then credit your account. You are required to send the western union information as stated below. (1) Sender's Name; (2) Receiver's Name; (3) MTCN; (4) Amount Sent; (5) Western Union Receipt. We assure you that this is a safe and approved Transaction and your account will be credited immediately we verify the Western Union details. You can contact us anytime if you have any question(s) about this Transaction. We want you to understand that the money payment can't be reversed nor can it be canceled or split, so we assure you that you are 100% SECURED doing this Transaction. Once again be rest assured that you will have your Money and you can receive your money anywhere in the world .so we would like you to kindly proceed with the western union transfer and send the receipt or MTCN number to us, Once the Western Union Information is received from you for verification. Thanks for choosing PayPal, We promise to provide you with the very fast and secured transaction You may contact PayPal customer service by Clicking Here or reply directly to this email by using the reply button in your e-Mail Box and Quote the Above Transaction ID for quick recognition of this transaction. Copyright © 2012 PayPal, Inc. All rights reserved. PayPal Email ID PP307

Klarerweise ist auch die Rückfrage bei der vorgeblichen PayPal-Adresse im Ablauf vorgesehen. Man hat sich auch die Mühe gemacht, den richtigen Betrag und den Namen des Käufers herauszusuchen.

Ich kann mir die Spedition nicht leisten!

Zahlungsunfähige "Zahlungsempfänger" sind mit dem Betrugskonzept klarerweise unvereinbar. Alternativen zur Vorauszahlung per Western Union werden daher sicher nicht angeboten werden.

Fazit

Die Vorgangsweise der Betrüger zielt ganz offensichtlich auf völlig gutgläubige Personen, die reich genug sind, einige hundert Euro "Frachtkosten" vorzuschießen. Die verwendeten Textbausteine mögen linkisch oder tollpatschig erscheinen, aber insgesamt erweckt die Operation den Eindruck eines modernen Call-Centres und eines effizient organisierten Unternehmens. Das Bild von ungebildeten, geradezu analphabetischen nigerianischen Akkordarbeitern, die stumpfsinnig Textbausteine copy-pasten, wird also hinterfragt werden müssen.

1. Why do Nigerian scammers say they are from Nigeria?

2. An einigen Stellen wurden geringfügige Änderungen bei E-Mail-Adressen oder der Klarheit wegen (z.B. Kürzungen der Tofu-Quotes) vorgenommen.

3. Leider verstecken viele Mailprogramme "der Übersichtlichkeit halber" die Adresse und zeigen nur den "Namen" an. Es ist paradox, wenn Benutzer die Kontrolle über die Technik verlieren, weil man versucht hat, sie "anwenderfreundlich" zu gestalten.