Heute ist eine sehr seltsame Mail in meinem Postfach aufgeschlagen und da wir ja neulich so dämlich auf einen Phishing-Angriff reingefallen sind habe ich sehr genau hin geschaut. Die Mail kam mit dem Betreff „Ein kleines Dankeschön für Deine Geduld“ und teilte mir mit, dass wir für die Unanehmlichkeiten wegen der Paypal-Störung neulich 10 Euro auf unserem Paypal-Konto gut geschrieben bekommen.

Da ich aber kaum glaube, dass PayPal so großzügig ist um jedem seiner Kunden 10 Euro zu überweisen habe ich mal vermutet, dass es einen verdächtigen Link gibt, der direkt zum Paypal-Konto führen soll damit man gleich mal guckt, ob die 10 Euro schon da sind. Aber nichts dergleichen.

Was mir allerdings auffält, ist dass der Umlaut in meinem Namen vermurkst ist, während die Umlaute im Text korrekt dargestellt werden. Ich kann daher nur vermuten, dass diese Info aus irgend einer Datenbank kommt und dort statt UTF-8 ein anderes Coding-Schema verwendet wurde. Den vermurksten Nachnamen habe ich im Screenshot gelb hinterlegt.

Also gucken wir mal in den „Quelltext“ der Mail, denn der enthält vielleicht sachdienliche Hinweise.

Das erste was auffällt ist der absolut seltsame Return-Path (gelb hinterlegt) für „bouncing mails“, also Mails deren Annahme vom empfangenden Mailserver verweigert wird. Diese Mail-Adresse hat mit PayPal offensichtlich so viel zu tun wie Trump mit dem Friedensnobelpreis.

Auch der „Received:“ Header sieht seltsam aus. Wäre die Mail legitim, dann müsste Paypal mal erklären, warum so seltsame Header da drin sind. An dieser Stelle bin ich nun geneigt anzunehmen, dass der Phisher zu dämlich war um seinen Phishing-Link in die Email zu packen und damit das ganze auf sich beruhen zu lassen. No damage done, alles ok.

Doch dann habe ich gerade wieder Müllsäcke für unsere Mülltonnen nachbestelt und mit Paypal bezahlt und sehe, dass mein PayPal-Konto 10 Euro Guhaben hat. Nanu? Also mal direkt bei Paypal schauen.

Tatsächlich habe ich 10 Euro von „PayPal“ erhalten wobei ich an dieser Stelle keine Möglichkeit habe zu verifizieren, ob das wirklich die Firma PayPal ist oder einfach nur ein Account der sich PayPal nennt.

Also mal versucht PayPal zu kontaktieren. Nach etwa 10 Minuten rumgetippe um durch das „Sprachmenü“ zu kommen habe ich wenigstens gelernt, dass man vedächtige Mails an spoof@paypal.com weiterleiten kann damit die dann was daraus machen. Aber zufrieden bin ich immer noch nicht und so finde ich im vierten Unternmenü (da wo man sich nur hin verirrt wenn man hartnäckig dran bleibt) die Option mit einem Mitarbeiter zu sprechen. Allerdings sind alle Mitarbeiter gerade beschäftigt und so plaziere ich meine Bitte um Rückruf in 15 Minuten.

Dieser Rückruf kam dann und der Mitarbeiter versicherte mir, dass es von PayPal keine großzügige Aktion gäbe um die Kunden die von der Störung betroffen waren mit 10 Euro zu „entschädigen“. Ich solle also die Mail einfach ignorieren und mich über das Geld freuen.

Und doch frage ich mich, was da dahinter steckt Mittlerweile hat die Suchmaschine auch einen Artikel gefunden der das für eine „legitime Aktion“ hält, aber ich habe immer noch so meine Zweifel, was da gerade abläuft. Auch das Computer-Magazin „Chip“ berichtet heute, „PayPal verschenkt Geld„. Update: Mittlerweile ist die Story auch bei Heise.

Sollte es also tatsächlich seine Richtigkeit haben, dann hätte ich jetzt gerne eine Antwort von PayPal ob der sehr merkwürdigen Mail-Header.

Wenn ich nämlich in den Nachrichtenkopf meiner Zahlungsbestätigung der Müllsäcke gucke, also die Mail die mir PayPal hier geschickt hat dann steht da:

Return-Path: <service@paypal.de>
Received: from mx2.slc.paypal.com (mx2.slc.paypal.com [173.0.84.227])

Und ja, das passt zur in der Mail angegebenen Absenderadresse. Warum also sollte PayPal in der Mail für die vermeintliche Spende gänzlich andere Systeme nutzen?