Firefox for Android: Abofalle durch surfen

[Rechner-Tester]

Hallo zusammen,

ich hatte gestern das Erlebnis das mir direkt (<1Sekunde) nach einem Webseitenaufruf zwei SMS zugingen: Einmal das ein Abodienst für 6,99€/Woche eingerichtet wurde und einmal von meinem Telefonprovider das mir für die Nutzung eines Premiumdienstes gerade 6,99€ berechnet wurden.
Neben dem ganzen Ärger der jetzt vermutlich auf mich zukommt, verstehe ich bis jetzt technisch nicht wie das funktionieren konnte. Einzig und alleine auf WAP-Billing bin ich gestoßen, aber bis jetzt konnte ich keinen Hinweis finden das Firefox das überhaupt unterstützt [1]. Irgendwelche Ideen oder besser gar technische Hinweise?
Details:
* Samsung Galaxy S3 i9300 mit Telekom Stock Firmware (Android 4.3)
* Firefox 45.0 aus dem F-Droid Store (Upstream ist 45.0.1 aktuell, hat aber keine sicherheitsrelevanten Änderungen [2])
* µBlock Origin und LinkyMobile sind die einzigen Addons
* Mobile Datenverbindung über E-Plus
* Aufgerufene URL war goolemPUNKTde (händisch vertippt, ich wollte auf golem.de)
* Virustotal.com hält goolemPUNKTde für sauber [3], es scheint aber munter weitergeleitet zu werden.

Danke und Grüße
Rechner-Tester

PS: Drittanbietersperre ist seit gestern eingerichtet.

[1] https://developer.mozilla.org/en-US/search?q=wap
[2] https://www.mozilla.org/en-US/firefox/android/45.0.1/releasenotes/
[3] https://www.virustotal.com/de/url/95a599ce3830ae612c3360e30f75cea5e730df370b725e329e2582f3cb88bd55/analysis/

[maximum]

Ja das wird über Wap-billing gelaufen sein über mobile Datenverbindung. Über WLAN geht das meines Wissens nach nicht, da deine Telefonnummer so nicht zugänglich ist. Drittanbietersperre hilft wie du schon festgestellt hast. Die ersten 6,99 werden aber weg sein.

[lumines]

Seltsam ist das aber, weil Firefox für Android eigentlich keine Berechtigungen für SMS hat. Geht das wirklich trotzdem? Mit WAP-Billing habe ich mich ehrlich gesagt nie beschäftigt, aber das hört sich echt nicht gut an, wenn das so schnell getriggert werden kann.

[maximum]

Seltsam ist das aber, weil Firefox für Android eigentlich keine Berechtigungen für SMS hat. Geht das wirklich trotzdem? Mit WAP-Billing habe ich mich ehrlich gesagt nie beschäftigt, aber das hört sich echt nicht gut an, wenn das so schnell getriggert werden kann.

Die SMS kommt vom Drittanbieter nachdem dieser die Rufnummer über Wap ausgelesen hat. Der Browser macht da mit SMS gar nichts.

[Mortalvision]

Hilft da ein prepaid-handy?

[Der Sandmann]

Hilft da ein prepaid-handy?

Nur wenn du kein Guthaben auf der Karte hast. Ansonsten wird das ganz normal abgebucht.

[foobi]

Die lesen nur die Mobilnummer aus und behaupten dann man hätte dem Abschluss irgendeinen Abonnements zugestimmt. Was hilft:

* Beim ersten Mal: Der Forderung schriftlich widersprechen und dem Anbieter mit Fristsetzung klar machen, dass er entweder von seiner Forderung Abstand nehmen oder der Sachverhalt gerichtlich geklärt werden wird. Der Aufwand ist natürlich höher als 6,99€, aber mir geht es ums Prinzip, dass es solch ein Geschäftsmodell nicht geben darf.

* Bei allen weiteren Malen: Drittanbietersperre.

[kevsti]

Hatte letztens Monat so etwas ähnliches. Ich muss wohl auch auf irgend so ner Seite gelandet sein, jedenfalls habe ich aus heiteren Himmel (Handy lag schon einige Zeit nur auf dem Tisch - habs also nicht aktiv genutzt) irgendwann auf meine reine Daten-SIM auch so eine SMS bekommen - ich hielt sie damals allerdings als Fake-SMS.
Bis dann am Monatsende die Rechnung von Vodafone kam mit 20€ für Premiumdienste...
Habe VF dann ne E-Mail geschrieben und sie haben sofort eine Drittanbietersperre eingerichtet und mir versprochen die 20€ in den nächsten Rechnungen als Gutschrift zu verbuchen. Finde ich sehr Kulant von ihnen, da ich mich ja a) doch recht spät gemeldet habe und b) Vodafone eigentlich nur als Vermittler fungiert und nicht als Anbieter dieses "Premiumdienstes" (von dem ich heute noch nicht weiß, was ich denn tolles für die 5€/Woche bekommen haben soll...).

[Rooter]

Die SMS kommt vom Drittanbieter nachdem dieser die Rufnummer über Wap ausgelesen hat.Kann man dieses Auslesen der Nummer über den Browser nicht verhindern?

MfG
Rooter

[Rechner-Tester]

Hallo und danke für die Antworten. Für mich sieht es auch so aus als hätte Fx nicht die Berechtigungen SMS zu versenden. Den Hinweis das vielleicht auch ohne WAP die MSISDN/Telefonnummer übertragen wird ist auch noch eine Möglichkeit. Wie auch immer: eine Software der ich vertrauen will muss so was verhindern.
Mal sehen was die Jungs und Mädels von Mozilla dazu sagen: https://bugzilla.mozilla.org/show_bug.cgi?id=1261672

[Snoopy69]

Wäre bei mir nicht möglich.
Hab ich bei kostenfrei Vodafone blocken lassen.

Bin letztes Jahr in so eine Falle getappt.
Vodafone hat mir die 6,99€ (War wöchentlich) zurückgebucht


@ kevsti

Hab ich telefonisch gemacht

[Taigatrommel]

Mich hat es im vergangenen Jahr ebenfalls erwischt, habe dann direkt eine Sperre beim Provider einrichten lassen, zumindest bei o2 geht das ziemlich problemlos.

[Rechner-Tester]

Hallo zusammen,

hier noch mal ein Update. Zuerst zum technischen Teil:
Das ganze läuft tatsächlich über WAP-Billing oder Ähnlichem und funktioniert daher nur über eine mobile Datenverbindungen. Das liegt vollständig in der Hand der Mobilfunkprovider und kann daher nicht auf dem Endgerät beeinflusst werden. Im Telekomnetz (T-Mobile, Congstar, vermutlich auch andere) wird das zum Beispiel auf http://datapass.de/ genutzt und klappt dort trotz Drittanbietersperre. Die Daten scheinen also auf jeden Fall übertragen zu werden.

Eine Drittanbietersperre hilft aber gegen jedwede Rechnung von Drittanbietern und muss von den Providern per Gesetz angeboten werden. Die Aktivierung läuft unterschiedlich ab, eine Internet-Suche nach "Drittanbietersperre" und Providername fördert aber eigentlich immer ein Ergebnis zu Tage.

Zum meinem aktuellen Fall:
Ich habe vor einigen Tagen Post bekommen: "Aufgrund der uns vorliegenden Informationen schreiben wir ihnen die Summe X gut". Es scheint Masche zu sein sich in einem solchen Fall möglichst wenig zu äußern und auch nicht zu entschuldigen.
Ich hatte ja direkt nach dem Vorfall per Einschreiben diese Vorlage angepasst per Einschreiben an E-Plus geschickt: https://www.antispam-ev.de/wiki/Widerspruch_an_Provider_bei_Abzocke_mit_Handy-Abo_-_nicht_bestellt
Der darin enthaltene Widerruf meine Einzugsermächtigung hat E-Plus bis heute nicht gekümmert. Auch meine zuvor bereits händisch überwiesenen Beiträge haben sie nicht vom Einzug abgehalten.
Es gab also zwischenzeitlich ein "lustiges" Rückbuchungspiel. Darauf hat E-Plus sehr schnell reagiert. Meine Antworten habe ich dann jeweils gefaxt. Die Faxnummer ist so gut wie unauffindbar, ich habe einfach die für die Kündigungen genutzt, die ich noch kannte, da ich einige Tage vor diesem Vorfall gekündigt hatte.

Ich bin froh das ich von diesem kundenfreundlichen, und nur widerwillig oder gar nicht auf meine Kommunikation reagierenden Laden bald weg bin. Bald, weil natürlich meine Abschlussrechnung Fehler zu meinen Ungunsten enthielt (und eingezogen wurde).

Grüße
Rechner-Tester