NERDMANRobinhood verschickt Phishing-Mails für Betrüger
Kriminelle haben eine Lücke in Robinhoods Kontoerstellung ausgenutzt — und die Trading-Plattform hat ihre Phishing-Mails quasi selbst verschickt.
So lief der Trick
Die Angreifer registrierten neue Robinhood-Konten. Dabei schleusten sie Phishing-Nachrichten direkt in die Namensfelder ein. Robinhood schickte dann brav Bestätigungs-Mails mit dem manipulierten Inhalt an die Opfer.
Das Perfide: Die Mails kamen von Robinhoods echten Servern. Jeder Spam-Filter winkte durch. Für die Empfänger sah alles legitim aus.
Was in den Mails stand
- Behauptung:** "Verdächtige Aktivitäten auf Ihrem Konto erkannt"
- Ziel:** Opfer klicken auf einen Link und geben Login-Daten ein
- Absender:** Robinhoods echte E-Mail-Domain
- Erkennung:** Praktisch unmöglich für normale Nutzer
Was das bedeutet
Eine der simpelsten Angriffsmethoden überhaupt — und Robinhood hat sie nicht kommen sehen. Wer Eingabefelder nicht validiert, wird zur Waffe gegen die eigenen Nutzer. Das ist kein ausgeklügelter Hack, das ist ein Anfängerfehler bei einer Milliarden-Plattform.
Pro (für die Angreifer)
- Echte Absender-Domain, kein Spoofing nötig
- Spam-Filter greifen nicht
- Minimalster technischer Aufwand
Con (für Robinhood)
- Peinliche Sicherheitslücke im Basis-Feature
- Vertrauen der Nutzer beschädigt
- Input-Validierung ist Tag-1-Pflicht