WebStyleBoard

Zitat

Ein wahres Scheunentor für programmiertechnisch begabte Wirtschaftskriminelle öffnet sich, wenn Microsofts ActiveX-Technik sich in der geplanten Art und Weise durchsetzt. Das jedenfalls ist die Meinung des Chaos Computer Clubs nach Abschluß eines Experiments, das viele Windows-Anwender teuer zu stehen kommen kann.
[...]
Als geeignete Opfersoftware, die über ActiveX manipuliert werden sollte, wurde Quicken ausgewählt - das in Deutschland verbreitetste Programm zur Kontenverwaltung und Online-Banking für private Anwender und Selbständige.
[...]
Mit den gängigen Möglichkeiten von Visual Basic war es in kurzer Zeit möglich, ein Control zu schreiben, das Quicken-Anweisungen startet und via SendKeys fernbedient.
[...]
Klickt das ahnungslose Opfer auf der Lockseite den Link an, so wird die Schadensseite geladen. Während des Ladens wird das Applet gestartet und der Internet Explorer in den Vordergrund geschaltet. Hinter dem Explorer-Fenster wird nun für den Anwender unsichtbar Quicken aufgerufen und die Überweisung ausgefüllt. Erst nachdem Quicken wieder geschlossen wurde, ist das Laden der Seite beendet. Wer will, kann dem Opfer ein größeres Bild danebenlegen, welches parallel geladen wird, so daß er den Vorgang nicht abbricht.

Viel später wird das Opfer seine Homebanking-Software benutzen und die Überweisungen versenden. In der Regel sind dies dann Sammelüberweisungen. Die Quicken-Software wird dann eine Frage in der Form ‘Es sind 5 Überweisungen zu 2756,32 DM zu versenden. OK?’ stellen. Wer jetzt merkt, daß er eigentlich nur 4 Überweisungen zu 2736,32 DM machen wollte, hat Glück gehabt.

Sind die Überweisungen erst mal bei der Bank, stehen die Chancen, das Geld wiederzusehen, schlecht. Überweisungen sind im Gegensatz zu Lastschriften kaum rückholbar. Außerdem hat das Opfer ja für eine erbrachte Leistung - das Ansehen einer Web-Seite - bezahlt, so daß ein mündlicher Kaufvertrag entstand. Der Täter bewegt sich zwar auf dünnem Eis, kann jedoch klar und unmißverständlich den Preis von 20 DM auf der Web-Seite ankündigen, so daß der Vorgang juristisch wasserdicht wird - ähnlich der Vorgehensweise unter dem Btx-T-Online-System.
(Ganzer Artikel: http://www.ix.de/ix/artikel/1997/03/090/)