Phishing Mail: Eine neue Onlinerechnung liegt vor ?

[WerderHB]

Hallo, habe hier ein Problem mit einer Mail.

Angeblich von Vodafone.

Datum:25.02.2021 22:54:42

Eine neue Onlinerechnung liegt vor

"Rechnung Vodafone" <bitte.nicht.antworten@kundenservice.vodafone.com>

Ich habe mich im Kundenportal eingeloggt: Keine Rechnung, keine Benachrichtigung, nichts.

Mein Anruf bei der Hotline ergab, dass keine Rechnung vorliegt.

Also muss es sich um eine Phishing Mail handeln?

Ich habe diese Mail verglichen mit einer Mail, die ich sonst immer Anfang/Mitte des Monats  als Mail-Benachrichtigung erhalte. Hier zum Beispiel aus dem 9. Januar 2021.

Datum:09.01.2021 05:07:57

Eine neue Onlinerechnung liegt vor

Von:

"Rechnung Vodafone Kabel Deutschland" <bitte.nicht.antworten@kundenservice.vodafone.com>

Der Vergleich zwischen 9.Januar und 25. Februar ergibt:

Der Absendername lautet nur noch "Rechnung Vodafone" und das

"Kabel Deutschland" fehlt.

Die Mails sind komplett identisch, von der Farbe, Hintergrund usw.

Januar:

https://www.directupload.net/file/d/6106/bb3s9ok8_jpg.htm 

Februar:

https://www.directupload.net/file/d/6106/mo6drxik_jpg.htm 

Nur ganz unten gibt es eine Abweichung.

Statt 2019 Copyright wie am 9.Januar steht in der Mail vom 25.Februar das Jahr 2021.

https://www.directupload.net/file/d/6106/nke2ekog_jpg.htm 

https://www.directupload.net/file/d/6106/v9dyw3zx_jpg.htm 

Alle Links, die man anklicken kann in den Mails, stimmen identisch überein.

Habe es nacheinander in Word eingetragen und Dokumente vergleichen, keine Abweichung!

Geklickt habe ich nur auf einen Link, weil ich dachte, dass ich dadurch direkt zur Rechnung gelange.

https://kabel.vodafone.de/meinkabel/rechnungen?c_id=roo_csc_A01:fq0_f_mail_onlinebill 

Da ist nichts unauffälliges und ich lande auf der Vodafone Seite meiner Rechnungen.

https://kabel.vodafone.de/meinkabel/rechnungen/rechnung

Hinzu kommt, dass die Mailgrößen beider Mails unterschiedlich sind.

Statt 36,68KB als Größe wie bei der Mail vom 9.Januar sind es

36,8 KB am 25.Februar.

https://www.directupload.net/file/d/6106/lnoimm4a_jpg.htm 

Dann habe ich im IP-Header der Mails nachgeschaut, dort steht folgendes:

(grün markiertes sind die Unterschiede)

9.Januar:

Erweiterte E-Mail-Informationen

Return-Path: xxxxxxxxxxxxxxxx  kundenservice.vodafone.com>

Received: from mtainet2.tbpa.vodafone.de ([139.7.147.197])

Received: from [88.134.174.225] (helo=vlpn133.kabeldeutschland.de) by mtainet2.tbpa.vodafone.de with esmtp (Exim 4.94) (envelope-from <bitte.nicht.antworten@kundenservice.vodafone.com>)

Received: from vlpn507.kabeldeutschland.de (vlpn507-mgmt.kabeldeutschland.de [10.16.208.108]) by vlpn133.kabeldeutschland.de (Postfix) with ESMTP

Received: from vlpn507.kabeldeutschland.de (localhost [127.0.0.1]) by vlpn507.kabeldeutschland.de (Postfix) with ESMTP id

25.Februar:

Erweiterte E-Mail-Informationen

Return-Path: xxxxxxxxxxxxxxxx  kundenservice.vodafone.com>

Received: from demta2hr.tbpa.vodafone.de ([139.7.147.214])

Received: from [88.134.174.225] (helo=vlpn133.kabeldeutschland.de) by demta2hr.tbpa.vodafone.de with esmtp (Exim 4.94) (envelope-from <bitte.nicht.antworten@kundenservice.vodafone.com>)

Received: from vlpn507.kabeldeutschland.de (vlpn507-mgmt.kabeldeutschland.de [10.16.208.108]) by vlpn133.kabeldeutschland.de (Postfix) with ESMTP

Received: from vlpn507.kabeldeutschland.de (localhost [127.0.0.1]) by vlpn507.kabeldeutschland.de (Postfix) with ESMTP id

Die IPs habe ich alle nachgeschaut, alles von Vodafone und hat seine Richtigkeit.

Zusammenfassung:

Es gibt 4 Abweichungen.

1. Absender Name
2. 2019 vs 2021 Copyright
3. Größe der Mails (36,68KB vs 36,8KB)
4. IP Header (demta2hr vs mtainet2)

Ist das nun eine Phishing Mail…?

Kann die Vodafone Hotline denn alle Mails/Mailbenachrichtigungen, die ich erhalten habe, komplett einsehen und zurückverfolgen?

Wieso gibt sich jemand so viel Mühe und durch welchen Link (geklickt habe ich nur einen) soll ich in die Falle gelockt werden?

Der Vergleich der URLs ergibt doch: alles identisch!

Das ergibt doch alles keinen Sinn.

Wer weiß weiter?

[Lars · Accepted solution]

Hi WerderHB,

leider können wir die automatisierten Mails auch nicht im System nachvollziehen. Ich gehe aber davon aus, dass es seine Richtigkeit hat.

Wir hatten im Februar das Problem, dass die Rechnungen bei einigen Kunden erst verspätet im Kundenportal hinterlegt worden. Ich vermute, dass das bei Dir auch der Fall war. Das Rechnungsdatum war ja eigentlich viel früher. Oder hattest Du die Februarrechnung schon vorher in deinem Account?

Viele Grüße

Lars

[alex_l]

@WerderHB   das ist keine Phishing-Mail wenn die Links zu der echten Seite gehen.

kabel.vodafone.de ist die echte Seite und die Mail ist echt.

[WerderHB]

Hallo Lars, die Februarrechnung hatte ich bereits erhalten. Also als Mailbenachrichtigung.

[WerderHB]

Ja, es hat allen Anschein alles seine Richtigkeit.

Ich bin auch "nur" auf einen Link gegangen, der gesagt zur Rechnungsübersicht führt.

Aber wenn Lars meint, dass es automatisierte Abläufe gibt, so wird es dann ggf in meinem Fall so gewesen sein.

Aus welchen Gründen auch immer genau.

[Thomas]

Hallo WerderHB,

soweit ist ja alles geklärt. Hast Du noch Fragen oder kann der Beitrag geschlossen werden?

Grüße

Thomas

[WerderHB]

Hallo Thomas,

da nun alles geklärt ist, kann hier geschlossen werden.

Es war zum Glück nur falscher Alarm