Gestern stand hier für ein paar Minuten ein Thread, der augenscheinlich von einem Moderator verfasst worden war. Tatsächlich hatte sich der Benutzer aber gerade erst angemeldet. Er hatte jedoch die typische (𝗠𝗼𝗱𝗲𝗿𝗮𝘁𝗼𝗿) Markierung.
Ich habe jetzt mal ein bisschen getestet und mir einen neuen Account dazu angelegt. Ich denke, dass ich das Problem nun erklären kann und möchte dieses Weg nutzen, um die Forenteilnehmer vor diesem Trick zu warnen und Tipps geben, wie man ihn erkennen kann. Schließlich könnten falsche Moderatoren zu Social Engineering führen. Seien es nur harmlose aber wenig zielführende Diskussionen, oder aber, gegebenenfalls im Markt, die Aufforderung zum Versand einer Direktnachricht an eine vermeintlich vertrauenswürdige Person.
Offensichtlich funktioniert der Trick wie folgt. Wenn eine Firma im Profil angegeben wird, dann wird sie in Beiträgen wie folgt angezeigt: (Firma: xyz). Wenn ich jetzt im Firmennamen eine schließende runde Klammer verwende, sieht es im Thread so aus, als wäre das Text außerhalb des Firmennamens, der von der Forensoftware erzeugt wurde. So würde der folgende Wert beispielsweise einen Administrator vortäuschen:
1 |
|
Das sieht schon sehr echt aus. Es geht aber noch mehr! Schon vor einiger Zeit haben hier einige Nutzer angefangen Unicode Sonderzeichen wie das Scheemann Emoji in den Namen einzufügen. Es gibt aber nicht nur Emojis, sondern auch Unicode Zeichen für fette Schrift. Und so kann tatäschlich auch die eigentlich korrekte fette Darstellung erreicht werden:
1 |
|
Im Threadverlauf fällt es jetzt kaum noch auf, dass es sich um einen Fakeaccount handelt. Denn der einzige Anhaltspunkt wäre jetzt noch der Benutzername. Aber wer kennt schon die Benutzernamen aller Moderatoren und Administratoren auswendig? Ich kann daher jedem nur empfehlen: Wenn ein Moderator oder Administrator hier irgendwelche seltsamen Dinge verkündet, dann klickt vorher mal auf das Profil. Da ist es nämlich dann sofort erkennbar.
Ich habe das mit meinem Account mal getestet und mich Inventar genannt. Das Ergebnis ist oben zu sehen. Ich hoffe das geht so klar. Wenn nicht, dann den Account gerne sperren, aber lasst den Post hier bitte als Warnung für andere stehen. Als Hinweis für alle: Ich bin kein offizielles Inventar des Forums!
Es kommt noch ein Aspekt dazu. Die Eingabefelder im Profil sind Längenbeschränkt. Firma darf zum Beispiel eigentlich nur 30 Zeichen haben. Es scheint, als würden die genannten Unicode Zeichen zumindest clientseitig mehrere Zeichen darstellen. Die Länge des Feldes lässt sich jedoch im Browser erweitern und der Server akzeptiert die Eingabe trotzdem. Es wäre also zu prüfen, ob es hier eventuell im Server noch eine Längenbegrenzung braucht. Eventuell wäre es auch gut nur Standardzeichen zuzulassen.
Ich denke auch, dass das Problem nicht nur auf den Firmennamen beschränkt ist, sondern sich auch erreichen lassen könnte, indem man den Nachnamen leer lässt und den Inhalt direkt in den Vornamen schreibt.