Die „Zwei-Faktor-Authentifizierung“ beim Online-Banking, die auch in Luxemburg längst Standard ist, sollte eigentlich Bankkunden vor kriminellen Attacken aus dem Internet schützen. Das Prinzip besagt, dass Aufträge an die Bank zweimal bestätigt werden müssen – von unterschiedlichen Stellen, deren Zugang passwortgeschützt ist.

Möglicherweise ist es in jüngerer Vergangenheit gelungen, die Absicherung bei Kunden von Post.lu doch zu umgehen – bzw. alle erforderlichen Daten zu stehlen: RTL berichtet jedenfalls von „mindestens einer Person“, von deren Konto „ein fünfstelliger Betrag überwiesen wurde, ohne dass sie davon etwas wusste“. Die „Postbeamten“ hätten auf Nachfrage mitgeteilt, dass es sich dabei nicht um einen Einzelfall gehandelt habe.

„Das bestätigt die Post auch auf RTL-Nachfrage“, heißt es zwar weiter in dem entsprechenden Artikel – gegenüber dem Tageblatt bleibt eine solche eindeutige Bestätigung des geschilderten Sachverhalts aber aus. Auch auf mehrfache Frage gibt es keine Bestätigung, dass eine vom Kontoinhaber nicht angestoßene Überweisung eines fünfstelligen Betrags stattgefunden hat. Eine Sprecherin schreibt aber, man habe „letzte Woche“ eine „neue Serie von Phishing-E-Mails entdeckt“. Dabei hätten sich „Unehrliche als POST oder LuxTrust ausgegeben, um an die Anmeldedaten von eboo-Kunden zu gelangen“. „eboo“ ist das Online-Banking-Portal der Post. 

Bei dieser Art von Phishing-Attacken werde „versucht, den Kunden mit dem ‚Look&Feel’ von POST und LuxTrust zu täuschen, um ihn dazu zu bringen, sich über einen Link auf einer gefälschten Website mit seinen persönlichen Daten anzumelden“. 

Das Design einer Website zu kopieren, um dort in falschen Kulissen eine betrügerische Passwort-Abfrage zu betreiben, ist technisch eher eine Kleinigkeit. Wer darauf reinfällt, liefert den Angreifern aber bereits wichtige Informationen, nämlich den ersten Zugang zum Online-Banking.

„Nach einer Analyse der Cyber-Sicherheitsexperten von POST besteht das Ziel der Betrüger in diesem konkreten Fall darin, das Konto des Opfers mit einer Payconiq-App zu verknüpfen und über diesen Weg betrügerische Transaktionen durchzuführen“, erklärt die Post weiter.

Es gebe allerdings „keinen allgemeinen Fehler im Sicherheitssystem von eboo, dem Online-Banking von POST Luxembourg“. Die Teams von Post Luxembourg ergriffen „kontinuierlich die notwendigen Maßnahmen, um die Kunden bestmöglich zu schützen und die Auswirkungen eines möglichen Angriffs auf ein Minimum zu begrenzen“.