Am 7. Oktober bemerkte der Schweizer Marktplatz Ricardo verdächtige Aktivität auf seinen Servern und schloss die Lücke noch am selben Tag. Betroffen sind rund 890 000 Konten.
Abgeflossen sind Namen, Postadressen und Telefonnummern, bei Geschäftskonten zusätzlich die Firmennamen. Der Datenschutzbeauftragte und das Bundesamt für Cybersicherheit sind informiert, eine Strafanzeige ist angekündigt. Eine Erpressung gab es nicht.
Interessant ist, was nicht abgeflossen ist: E-Mail-Adressen und Passwörter.
Warum das die Lage verändert
Die meisten Betriebe sind gegen Betrug per Mail gerüstet. Es gibt Spamfilter, es gibt Schulungen, und es gibt die Verfahren, über die wir hier wochenlang geschrieben haben — SPF, DKIM und DMARC prüfen, ob eine Mail wirklich von dem Server kommt, der behauptet wird.
Diese ganze Maschinerie greift nur bei einem einzigen Kanal.
Seit wenigen Tagen laufen die Betrugsversuche zum Ricardo-Leck, und sie kommen per WhatsApp. Dort gibt es keine Absenderprüfung, keinen Spamordner und keine Richtlinie im DNS, die irgendetwas abweisen könnte.
Ob die Angreifer WhatsApp wählen, weil im Leck keine Mailadressen standen, lässt sich nicht beweisen. Sie haben Telefonnummern und keine Mailadressen — insofern liegt es nahe. Belegt ist es nicht.
Wie die Nachrichten aussehen
Übereinstimmend berichten mehrere Schweizer Medien dasselbe Muster.
Die Nachricht kommt von einer Schweizer Nummer. Sie beginnt mit einer persönlichen Anrede und dem richtigen Namen. Im Text steht die korrekte Wohnadresse. Behauptet wird eine verdächtige Aktivität bei einer Ricardo-Transaktion, und ein Link soll zur Bestätigung der Kontoinformationen führen.
Alles, was man normalerweise prüft, stimmt also: Name, Adresse, Telefonnummer. Es sind die Daten aus dem Leck.
Ein Detail verrät die Herkunft trotzdem. Die Nachrichten laufen unter wechselnden Absendernamen — neben «Ricardo Help Center» tauchte auch «Les Schwab Tire Center» auf, ein amerikanischer Reifenhändler. Das passt zu gekaperten oder wahllos benannten Konten und hat mit Ricardo nichts zu tun.
Die Regel, die hier trägt
Ricardo selbst formuliert sie klar, und sie ist auf jeden Betrieb übertragbar:
Mitglieder werden nie per Mail, SMS oder WhatsApp aufgefordert, persönliche oder sensible Daten anzugeben. Über Käufe und Verkäufe kommuniziert die Plattform grundsätzlich nicht per SMS oder WhatsApp.
Daraus folgt für den Empfänger eine einfache Prüfung, die ohne Technik auskommt: Nicht fragen, ob die Nachricht echt aussieht, sondern ob dieser Absender auf diesem Weg überhaupt schreibt.
Eine Bank schreibt nicht per WhatsApp. Ein Marktplatz auch nicht. Wenn doch eine Nachricht kommt, ist der Kanal selbst das Warnzeichen — unabhängig davon, wie korrekt die Angaben darin sind.
Und für den Zugriff gilt wie immer: nie über den mitgeschickten Link, sondern über die Adresse, die man selbst kennt.
Das Muster wiederholt sich gerade
Der Ricardo-Fall steht nicht allein.
Beim Softwarelieferanten der Bundespensionskasse Publica, über den wir vor zwei Wochen geschrieben haben, ist die Lage inzwischen deutlicher geworden: Die Gruppe Akira erbeutete rund 100 Gigabyte zu über 100 000 aktuellen und ehemaligen Bundesangestellten. In den Daten stehen AHV-Nummern und IBAN. Das Staatssekretariat für Sicherheitspolitik meldet bereits erste Betrugsversuche.
Das ist dieselbe Mechanik wie bei dem Fall, den wir am 15. Oktober beschrieben haben: Nicht die Geheimhaltung einzelner Angaben entscheidet, sondern was sich aus ihrer Kombination bauen lässt. Eine Adresse ist kein Geheimnis. Eine Adresse plus Name plus Telefonnummer plus ein plausibler Anlass ergibt eine Nachricht, an der nichts falsch wirkt.
Was ein Betrieb jetzt tun kann
Rechnen Sie damit, dass Ihre Mitarbeitenden betroffen sind. 890 000 Konten sind viel für ein Land dieser Grösse. Ein kurzer Hinweis im Team kostet nichts und wirkt besser als jede Schulung in sechs Monaten.
Erweitern Sie die Frage über die Mail hinaus. Wer Phishing nur als Mailthema behandelt, lässt die Kanäle offen, die gerade benutzt werden. WhatsApp, SMS und Anruf gehören in dieselbe Regel.
Und bei Geschäftskonten: Dort hängt am Leck auch der Firmenname. Das ist das Material für die nächste Stufe — eine Nachricht, die nicht an die Privatperson geht, sondern an den Betrieb, mit korrekten Angaben zu beidem.