Ein verspäteter Flug oder verlorenes Gepäck reicht aus, damit Cyberkriminelle zuschlagen. Betrüger nutzen Frustration in den sozialen Medien aus, um Tausende Euro zu stehlen.
Wenn Reisepläne scheitern, werden soziale Medien zur ersten Anlaufstelle für verärgerte Verbraucher. Verspätete Flüge, abgelehnte Kreditkarten oder verlorenes Gepäck veranlassen Passagiere dazu, sich über Fluggesellschaften öffentlich zu beschweren, um Hilfe zu erhalten. Sicherheitsforscher von Check Point Exposure Management haben jedoch aufgedeckt, dass koordinierte Angreifer diese Hilferufe in digitale Fallen verwandeln. Anstatt Unternehmensnetzwerke zu hacken, agieren die Betrüger direkt in den Antworten unter offiziellen Beiträgen, geben sich als Kundendienst aus und stehlen Tausende von US-Dollar.
Die Architektur der Täuschung
Die Mechanik dieser Kampagne basiert auf Social Engineering und öffentlicher Sichtbarkeit. Wenn Kunden Beschwerden auf Plattformen wie X oder Facebook veröffentlichen, antworten gefälschte Konten mit professionell klingenden Entschuldigungen. Namen wie „Customer Resolution Centre“ oder „Claim Review Unit“ werden zusammen mit Logos genutzt, um echten Support zu imitieren.
+———————————————————————————–+
| ABLAUF DER ÖFFENTLICHEN MARKEN-BETRUGSMASCHE |
+———————————————————————————–+
| 1. Opfer postet Beschwerde auf X/Facebook (mit Verlinkung der Marke) |
| 2. Betrüger antwortet sofort über gefälschtes Konto und fordert Direktnachricht |
| 3. Betrüger verlangt Telefonnummer & Buchungsdaten im privaten Chat |
| 4. Gespräch wird auf WhatsApp verlagert (nutzt virtuelle US-Nummern) |
| 5. Betrüger sendet Link/App-Registrierung für Geldtransfer (Remitly etc.) |
| 6. Opfer gibt Kartendaten ein (im Glauben an Rückerstattung) & sendet Geld ab |
+———————————————————————————–+
Die Angreifer fordern die Opfer auf, gefälschten Seiten zu folgen und persönliche Informationen wie Telefonnummern und Buchungscodes per Direktnachricht zu teilen.
Blick in die HUMINT-Ermittlungen
Um die Hintergründe aufzudecken, führten die Forscher von Check Point direkte Ermittlungen durch. Nach der Kontaktaufnahme wurden die Ermittler schnell auf WhatsApp umgeleitet. Obwohl US-Vorwahlen genutzt wurden, zeigten Netzwerkanalysen, dass es sich um VoIP-Nummern handelte, die über Anbieter wie Neutral Tandem geroutet wurden.
Spuren führten die Ermittler nach Kenia. Die Täter nutzten einstudierte Skripte, um unter dem Vorwand einer Entschädigung sensible Bank- und Personendaten zu verlangen.
Methoden der Geldwäsche und Datenbeschaffung
Die Betrüger nutzen drei Hauptwege, um Opfer zur Zahlungsfreigabe zu verleiten:
- Digitale Überweisungs-Apps: Betrüger registrieren die E-Mail-Adresse des Opfers bei Diensten wie Remitly oder Lemfi. Sie leiten eine Auslandsüberweisung nach Kenia ein und fordern das Opfer auf, die App zu öffnen, um die Entschädigung zu empfangen. Beim Einloggen gibt das Opfer seine Kreditkartendaten ein und schließt unbewusst eine Überweisung an den Betrüger ab.
- Phishing-Formulare: Alternativ versenden Angreifer Links zu Google-Formularen mit dem Titel „COMPENSATION/REFUND APPLICATION“. Diese erfassen Namen, Adressen, Geburtsdaten sowie vollständige Kreditkartendaten inklusive CVV-Code.
Schutzmaßnahmen für Unternehmen
Dieses Phänomen betrifft zahlreiche Branchen weltweit. Unternehmen müssen soziale Netzwerke aktiv überwachen, gefälschte Konten umgehend melden, vertraulichen Support auf sichere Kanäle verlagern und mit Finanzdienstleistern zusammenarbeiten, um verdächtige Transaktionen zu blockieren.
„Die aktuelle Kampagne verdeutlicht eine neue Dimension des Exposure Managements. Wenn Betrüger gefälschte Support-Konten erstellen, um verärgerte Kunden auf private Kanäle wie WhatsApp zu locken und dort gezielt Finanz- und Kreditkartendaten abzugreifen, gerät das Vertrauen in die gesamte Marke unter Beschuss. Für Unternehmen reicht es deshalb nicht mehr aus, nur die interne IT-Infrastruktur abzusichern. Ein wirksamer Schutz erfordert heute die kontinuierliche Überwachung der externen Angriffsfläche – inklusive gefälschter Social-Media-Profile und Markenimitationen,“ erklärt Daniel Dreier, AVP bei Check Point Exposure Management.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de