Spam-Anrufe / E-Mails, in denen unsere Konferenz-TeilnehmerInnen nach Kreditkarten-Daten gefragt werden

Ein Unternehmen hat einige unserer TeilnehmerInnen / Vortragenden über E-Mail und Telefon kontaktiert und dabei fälschlicherweise behauptet, im Auftrag der OrganisatorInnen unserer Veranstaltung tätig zu sein. Gefragt wurde dabei zum Beispiel nach Kreditkartendaten, um eine Hotelbuchung abzuschließen oder eine Rückerstattung zu veranlassen.

Wir haben keine Kenntnis darüber, wie die BetrügerInnen an die Kontaktdaten dieser Personen kommen konnten, aber sie haben mit Sicherheit keine Verbindung zu uns. Ist es möglich, dass die ConfTool-Installation gehackt worden ist? Sollten wir alle BenutzerInnen informieren? Sollten alle BenutzerInnen so rasch wie möglich ihre Passwörter ändern?

Dieser Foreneintrag ist auch als englische Version verfügbar.

Kurzfassung In allen uns gemeldeten Fällen konnte ein unbefugter Zugriff auf das Konferenzsystem ausgeschlossen werden. Die Kontaktdaten stammten aus öffentlich zugänglichen Quellen. Warnen Sie Ihre TeilnehmerInnen frühzeitig vor solchen Kontaktaufnahmen – das ist der wirksamste Schutz. Ein Ändern der ConfTool-Passwörter ist nicht erforderlich.

Handelt es sich um ein Datenleck?

Mit hoher Wahrscheinlichkeit nicht. Über derartige Vorfälle werden wir seit über zehn Jahren mehrmals jährlich informiert. In jedem uns gemeldeten Fall konnten wir einen unbefugten Zugriff auf die ConfTool-Installation jedoch ausschließen.

Das bedeutet allerdings nicht, dass die Daten aus einer Quelle stammen, die keinen Bezug zu Ihrer Veranstaltung hat. Die Teilnahme an einer Konferenz ist ihrer Natur nach öffentlich: Programme, Abstracts und Tagungsbände werden veröffentlicht, und die Kontaktdaten von TeilnehmerInnen aus dem wissenschaftlichen Umfeld sind in der Regel frei über die Seiten ihrer Einrichtungen auffindbar. Betrügerische Unternehmen stellen ihre Listen aus genau diesen Quellen zusammen.

Ihr eigenes veröffentlichtes Programm ist dabei häufig die einfachste Quelle. Mit ConfTool können Sie die Agenda und eine Teilnehmerliste erstellen und veröffentlichen. Wenn Sie diese Informationen öffentlich zugänglich machen, statt den Zugriff bis zur Konferenz auf angemeldete Teilnehmerinnen und Teilnehmer zu beschränken, stehen Namen, Organisationen und Sitzungsdetails gebündelt auf einer strukturierten Seite. Dies lässt sich erheblich einfacher automatisiert auslesen als dieselben Informationen, die ansonsten über ein Dutzend Websites verteilt wären. Zudem erhöht sich das Risiko spürbar. Eine Beschränkung auf angemeldete – gegebenenfalls bereits zahlende – TeilnehmerInnen senkt das Risiko.

Vollständig beseitigen lässt sich das Risiko damit jedoch nicht, da Programme häufig zusätzlich als PDF auf der Konferenz-Website veröffentlicht werden, Abstracts in Tagungsbänden erscheinen und die Seiten der Vortragenden ohnehin online bleiben. Wir raten Ihnen daher, selbst zu prüfen, welche Informationen zu Ihrer Veranstaltung öffentlich auffindbar sind. Suchen Sie über eine Suchmaschine nach dem Namen Ihrer Konferenz zusammen mit einigen Namen von Vortragenden.

Viele VeranstalterInnen veröffentlichen ihr Programm bewusst, da es der Bewerbung der Tagung dient und von den TeilnehmerInnen erwartet wird. Das ist eine legitime Abwägung und kein Fehler – es macht die nachfolgend beschriebene Warnung nur umso sinnvoller.

Warnen Sie Ihre TeilnehmerInnen, bevor diese kontaktiert werden

Eine Warnung ist die mit Abstand wirksamste Gegenmaßnahme. Sie wirkt vorbeugend deutlich besser als nachträglich. Wenn man weiß, was einen erwartet, reagiert man auf solche Kontaktaufnahmen sehr viel seltener.

Wir empfehlen, einen kurzen Hinweis zweimal zu versenden: einmal bei der Veröffentlichung Ihres Programms, denn dann beginnt üblicherweise das automatisierte Auslesen, und einmal kurz vor der Veranstaltung, wenn die Masche mit den Hotelbuchungen ihren Höhepunkt erreicht.

Sie können den folgenden Text gerne übernehmen und anpassen:

Bitte beachten Sie, dass Sie möglicherweise von Dritten per E-Mail oder Telefon kontaktiert werden, die in keiner Verbindung zu dieser Konferenz stehen. Häufig wird dabei behauptet, Ihre Unterkunft oder Registrierung zu organisieren, und Sie werden nach Kreditkartendaten oder anderen persönlichen Informationen gefragt. Die OrganisatorInnen werden Sie niemals per E-Mail oder Telefon nach Zahlungsdaten fragen. Registrierung und Zahlung für diese Konferenz erfolgen ausschließlich über unser offizielles Konferenzsystem. Sollten Sie auf einem anderen Weg kontaktiert werden, antworten Sie bitte nicht und informieren Sie uns.

Bitte geben Sie auch Ihre eigenen Kontaktdaten an, damit Betroffene Rückfragen stellen oder mitteilen können, dass auch sie kontaktiert wurden.

Wenn bereits Zahlungsdaten herausgegeben wurden

Raten Sie den Betroffenen, sofort zu handeln:

• Umgehend die Bank oder das Kreditkartenunternehmen kontaktieren und die Karte sperren lassen.
• Sie als VeranstalterIn informieren, damit Sie die übrigen TeilnehmerInnen warnen können.
• Anzeige bei der Polizei erstatten. In einigen Ländern nehmen auch Verbraucherschutzstellen solche Meldungen entgegen.

Hier ist Schnelligkeit wichtiger als Gewissheit. Es ist deutlich weniger schlimm, eine Karte unnötig sperren zu lassen, als abzuwarten, bis sich der Betrugsverdacht bestätigt.

Müssen die ConfTool-Passwörter geändert werden?

Nein, das ist nicht erforderlich.

ConfTool speichert Passwörter nicht in wiederherstellbarer Form, sondern als gesalzene kryptografische Hashwerte. Selbst wer vollständigen Zugriff auf die Datenbank hätte, könnte die ursprünglichen Passwörter daraus nicht rekonstruieren.

Wenn Sie dennoch einen unbefugten Zugriff vermuten

Sollten andere Anhaltspunkte dafür sprechen, dass jemand unbefugt auf Ihre Installation zugegriffen hat, können Sie die Aktionen aller BenutzerInnen jederzeit selbst nachvollziehen:

Übersicht → Protokoll anzeigen

Auf der Seite stehen Ihnen verschiedene Filtereinstellungen zur Verfügung (siehe Abbildung). Sollte Ihnen etwas verdächtig vorkommen, kontaktieren Sie uns gerne.

Falls ein Benutzungskonto tatsächlich kompromittiert wurde, liegt die Ursache erfahrungsgemäß nicht im Konferenzsystem, sondern auf einem infizierten Rechner eines Mitglieds des Organisationsteams: Schadsoftware, die Tastatureingaben und lokal gespeicherte Zugangsdaten mitschneidet, verschafft Angreifenden Zugang zum persönlichen Benutzungskonto dieser Person.

Um dieses Risiko zu verringern:

• Halten Sie Betriebssystem und Programme stets aktuell.
• Verwenden Sie einen Werbe- und Skriptblocker wie uBlock Origin.
• Öffnen Sie keine Anhänge und folgen Sie keinen Links in unaufgefordert erhaltenen E-Mails. Jede PDF-, Word- und ZIP-Datei kann ein Sicherheitsrisiko darstellen.
• Nutzen Sie einen Passwortmanager im Browser. Dieser gleicht die Adresse der besuchten Website mit den gespeicherten Zugangsdaten ab und trägt Ihr Passwort auf einer Phishing-Seite nicht ein.

Bei unerwarteten Nachrichten, die angeblich von AdministratorInnen oder dem IT-Support stammen oder auf unerwartete Dokumente verlinken, ist besondere Vorsicht geboten.

Uns gemeldete Firmennamen

Die Namen dieser Unternehmen wechseln regelmäßig – verlassen Sie sich daher eher auf das Muster als auf einen bestimmten Namen. Diese Unternehmen geben sich typischerweise als Reise-, Unterkunfts- oder Registrierungsdienstleister aus. Sie behaupten, Ihre Hotelbuchung abzuwickeln, erzeugen Zeitdruck und fragen schließlich nach Ihren Kreditkartendaten. In der Veranstaltungsbranche werden sie üblicherweise als housing pirates oder room poachers bezeichnet – nützliche Suchbegriffe, wenn Sie nach weiteren Warnungen recherchieren möchten.

Namen, die uns von VeranstalterInnen gemeldet wurden oder die in veröffentlichten Warnungen anderer Einrichtungen auftauchen:

• Elite Housing Service
• Exhibitor Housing Services (EHS)
• Exhibitor Housing Management (EHM)
• Expo Hotel Services
• Global Travel, Global Travel Team, Global Travel Experts, Global Travel Management
• Operations Global
• Travel Housing Team (THT)
• Traveller Point (TP)

Wir konnten diese Angaben nicht unabhängig überprüfen; wir führen sie auf, weil es die Namen sind, nach denen Betroffene nach einer Kontaktaufnahme suchen werden.

Ist Ihnen ein Name begegnet, der hier nicht aufgeführt ist? Bitte schreiben Sie uns eine kurze Mail. Eine aktuelle Liste hilft anderen VeranstalterInnen, das Muster frühzeitig zu erkennen.

Betrugsmasche gegen AusstellerInnen und SponsorInnen

Eine verwandte Masche richtet sich nicht an TeilnehmerInnen, sondern an AusstellerInnen und SponsorInnen: Betrügerische Unternehmen bieten an, die Teilnehmerliste der Konferenz zu verkaufen, und geben dabei fälschlicherweise vor, im Auftrag der OrganisatorInnen zu handeln. Auch diese Listen stammen entweder aus öffentlichen Quellen oder bestehen schlicht aus erfundenen Adressen. Wenn an Ihrer Veranstaltung Unternehmen aus der Industrie beteiligt sind, lohnt es sich, auf Ihrer Website deutlich darauf hinzuweisen, dass Sie Teilnehmerdaten weder veröffentlichen noch verkaufen oder vermieten. Das gibt AusstellerInnen dasselbe einfache Prüfkriterium, das der obige Mustertext den TeilnehmerInnen gibt.

Weiterführende Informationen

• Conference Scam Alert (Elsevier) – zu EHS, EHM, Traveller Point und Travel Housing Team
• Scam E-Mails Going Around From Various E-Mail Addresses (MPIM Bonn)
• EMBO Reports: „Academic street smarts: be vigilant of fraudsters"

Mehrere Fachverbände unterhalten eigene Warnseiten mit Beispielen aus ihren Bereichen: AIChE, NAFSA, AMTA, ASRM, IPW

Fazit: Es handelt sich nicht um ein spezifisches Problem von ConfTool. Auch Konferenzen, die andere Systeme einsetzen, können auf dieselbe Weise und aus demselben Grund betroffen sein. Programmdaten sind häufig öffentlich.