Schlüsselfertiges Phishing

Heutzutage muss ein Betrüger nicht mehr wissen, wie man Schadsoftware schreibt, oder sich ausgeklügelte digitale Betrugsmaschen ausdenken. Heutzutage werden Betrugsmaschen in Form von Fraud-as-a-Service (FaaS) angeboten. Der durchschnittliche Betrüger muss nur nach Opfern suchen und dann deren Geldbeutel leeren – den Rest erledigt der Betreiber.

Heute schauen wir uns eine Gruppe an, die sich auf betrügerische Kleinanzeigen spezialisiert hat, um zu erklären, was schlüsselfertiges Phishing ist und wie man sich am besten davor schützt.

Wer bietet diesen Service an?

Die Schlüsselperson einer Gang ist der Gründer oder Themenstarter. Dieser Typ leitet alle anderen an:

• Programmierer, die für Telegram-Kanäle, Chats und Bots verantwortlich sind
• Eintreiber oder Menschen, die sich als Support-Mitarbeiter ausgeben
• Kartierer, die Geld vom Bankkonto des Opfers abheben
• Arbeiter, die Kleinanzeigen aufstöbern, darauf reagieren und die Opfer dazu bringen, einen Phishing-Link zu öffnen

So sieht im Kern fast jede Gang aus. In besonders anspruchsvollen Strukturen gibt es außerdem noch Marketer, Motivatoren und Mentoren. Diese führen Werbekampagnen für das Projekt durch und bieten den Arbeitern moralische Unterstützung und Schulungen dafür an.

Die Mitglieder einer betrügerischen Gang kommunizieren hauptsächlich über private Gruppen und Chats in Telegram. Der von uns untersuchte Kanal hatte etwa 15.000 Mitglieder, von denen nur fünf Mentoren waren. Fast alle anderen waren Arbeiter – in diesem System die Entsprechung zum Bauern beim Schach. Lies die Enhüllungsreportage auf Securelist, um mehr über weitere Rollen zu erfahren, die Mitglieder einer betrügerischen Gang haben.

Der Telegram-Bot als Hauptwaffe der Arbeiter

Bots helfen Banden, den größten Teil des Betrugsprozesses zu automatisieren. Betrüger können diese beispielsweise verwenden, um einzigartige, personalisierte Phishing-Anzeigen zu erstellen. Ein von uns entdeckter Telegram-Bot sendet bis zu 48 Anzeigen gleichzeitig in vier Sprachen, für sechs Kleinanzeigen-Websites und in zwei Versionen: Verkäuferbetrug (2.0) und Käuferbetrug (1.0).

Ein Bot erstellt Links für zwei Arten von Betrug gleichzeitig: Betrug an Verkäufern (2.0) und Betrug an Käufern (1.0)

Anschließend verwendet ein Arbeiter den Telegram-Bot, um die Links automatisch an die E-Mail-Adresse, das Instant Messaging-Konto oder den SMS-Posteingang des Opfers zu senden. Sobald ein Phishing-Link geöffnet wird, zeigt der Bot die Meldung „Mammut online“ an. Dies sagt dem Arbeiter, dass der Betrug schon so gut wie erfolgreich war: Das Opfer hat keinen Schutz, das heißt, die Bande kann demnächst zuschlagen.

Der Bot teilt dem Arbeiter alles mit, was das Opfer tut – ganz detailliert

Sofortige Benachrichtigungen über alles, was passiert, ist eine der Killer-Funktionen von Telegram-Bots. Wenn das Opfer den Köder schluckt und die „Ware“ oder die „Lieferung“ bezahlt, erfährt der Arbeiter sofort davon. Der Bot berechnet den Anteil des Arbeiters an der Beute und teilt den Namen des Kartierers mit, der das Geld abhebt.

„Schon wieder einer reingefallen!“ — die neue Arbeiterhymne

Das ist in etwa alles, was der Arbeiter tun muss, da das Geld seinem Konto automatisch gutgeschrieben wird – es sei denn, er wird von seinen eigenen Gangkameraden betrogen, was nicht ungewöhnlich ist.

So viel Geld nehmen betrügerische Gangs ein

Die Arbeiter sind die Melkkühe der Bande: Sie zahlen Provisionen an Gründer, Mentor, Kartierer und Eintreiber. Dieses Projekt ist zweifellos eine Gelddruckmaschine: Zwischen August 2023 und Juni 2024 verdiente die Bande mehr als zwei Millionen US-Dollar. Das sagen die Betrüger sowieso, aber sie können im internen Chat beliebige und noch so überhöhte Zahlen angeben, um die Arbeiter zu motivieren.

Ein schlechter Tag für die Betrüger – aber ein guter für die gesamte Menschheit

Die Gewinne der Betrugsfabrik sind durch die Transaktionslimits der Banken begrenzt. Die Bande, die wir untersuchen, operiert von der Schweiz aus, und die lokalen Bankvorschriften verhindern, dass mehr als 15 000 Schweizer Franken (ca. 16 700 US-Dollar) auf einmal gestohlen werden. Die Arbeiter haben einen Mindestbetrag für Abhebungen: Sie lassen Karten links liegen, wenn das Konto weniger als 300 Schweizer Franken (333 US-Dollar) enthält; andernfalls würden die Kosten die Einnahmen übersteigen.

Der Falle entgehen

Ein Angriff durch schlüsselfertiges Phishing (im Gegensatz zu „normalem“ Phishing) macht für die Betroffenen keinen Unterschied: Die Betrüger sind immer noch Betrüger, die auf verschiedene Weise versuchen, ihre Opfer um ihr Geld zu betrügen. Da FaaS die Arbeit der Betrüger jedoch erheblich erleichtert, ist diese Art von Betrug auf dem Vormarsch. Dementsprechend bleiben die Schutztipps dieselben wie für andere Arten von Phishing:

• Verwende zuverlässige Sicherheitsfunktionen, die dich davon abhalten, Phishing-Links zu folgen.
• Sieh dir unsere Regeln für den sicheren Online-Verkauf
• Beschränke deine Chats mit Verkäufern und Käufern auf klassifizierte Websites. Um zu verhindern, dass die Arbeiter deine persönlichen Daten sehen können, wechsle nicht zu Instant Messaging-Apps.
• Bezahle Online-Einkäufe nur mit virtuellen Karten, die über ein Transaktionslimit verfügen, und speichere keine größeren Beträge auf den damit verbundenen Konten.
• Halte dich über die Funktionweise weiterer Betrugsmaschen auf dem Laufenden.