Sie lösen echte Kleinsttransaktionen aus und platzieren in den Bestätigungsmails gefälschte Support-Telefonnummern.
Die Masche ist perfide: Weil es sich um tatsächliche Buchungen handelt, generiert PayPals System authentische Mails. Die Betreffzeilen manipulieren die Angreifer so, dass der Eindruck einer massiven Fehlbuchung oder eines unbefugten Zugriffs entsteht. Darin verstecken sie eine Telefonnummer, die als Kundensupport deklariert wird.
Wer diese Nummer wählt, landet nicht beim Zahlungsdienstleister, sondern bei geschulten Betrügern in Callcentern. Die versuchen im Gespräch, Login-Daten, Kreditkarteninformationen oder Einmalpasswörter abzugreifen. Die Methode wurde zunächst in den USA identifiziert, verbreitet sich aber rasant global.
Online-Zahlungsdienste wie PayPal stehen immer häufiger im Visier von Betrügern, die Sicherheitslücken und menschliche Unsicherheit ausnutzen. In diesem kostenlosen Startpaket erfahren Sie Schritt für Schritt, wie Sie Ihr Konto absichern und den Käuferschutz richtig einsetzen. Sicherheits-Ratgeber für PayPal kostenlos herunterladen
Quishing-Angriffe legen um 146 Prozent zu
Parallel dazu steigt die Zahl der Angriffe via QR-Code drastisch. Allein im ersten Quartal 2026 nahm Quishing um 146 Prozent zu. Kriminelle überkleben legitime QR-Codes in Gastronomiebetrieben oder an öffentlichen Ladestationen mit bösartigen Aufklebern.
Die Opfer landen auf täuschend echten Login-Seiten oder werden zur Installation von Fernwartungstools verleitet. In der Region Cavite verloren Ladenbesitzer hohe Geldbeträge aus ihren digitalen Wallets, nachdem sie betrügerische Rückbuchungsanweisungen befolgt hatten.
45.000 Geräte mit Spionagesoftware infiziert
Sicherheitsforscher von Zimperium zLabs entdeckten eine globale Überwachungskampagne namens „Arsink RAT“. Die Spionagesoftware nutzt Firebase, Google Drive und Telegram für ihre Steuerung. Weltweit sind rund 45.000 Geräte in 143 Ländern infiziert.
Die Malware wird über mehr als 1.200 bösartige App-Samples verbreitet, die sich als Google, WhatsApp oder Instagram tarnen. Arsink RAT liest SMS mit, stiehlt Anruflisten, verfolgt Standorte und kann Mikrofonaufnahmen anfertigen. Besonders kritisch: Die Software kann Authentifizierungscodes für Firmennetzwerke stehlen.
Eine neue Variante der „ClayRat“-Spyware treibt die Eskalation weiter. Sie erfasst Sperrbildschirm-Anmeldedaten, entsperrt Geräte automatisch und zeichnet Bildschirme auf. Die Verbreitung erfolgt über Phishing-Kampagnen und Sideloading.
28 betrügerische Apps mit 7,3 Millionen Downloads
ESET deckte die Kampagne „CallPhantom“ auf: 28 Android-Apps mit über 7,3 Millionen Downloads lockten Nutzer in kostspielige Abonnements von bis zu 80 US-Dollar pro Monat. Der Trojaner „CloudZ RAT“ missbraucht zudem die Windows-Funktion „Phone Link“, um SMS und Sicherheits-Codes vom PC aus mitzulesen.
Da immer mehr Schadsoftware gezielt Android-Smartphones angreift, ist ein Basis-Schutz vor Hackern und Datenmissbrauch heute unverzichtbar. Ein gratis PDF-Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr Gerät in wenigen Minuten absichern können. 5 Schutzmaßnahmen für Android-Smartphones jetzt gratis sichern
Kritische Lücken in Qualcomm-Chips und HyperOS
Die indische Cybersicherheitsbehörde CERT-In warnte vor Schwachstellen in Qualcomm Snapdragon-Chipsätzen. Sie betreffen Android-Smartphones, Tablets und IoT-Geräte und ermöglichen Fernausführung von Code sowie Privilegieneskalation.
Xiaomi-Nutzer sind von der Zero-Click-Lücke CVE-2026-0073 in HyperOS 2 und 3 betroffen. Schadcode kann ohne Benutzerinteraktion ausgeführt werden. Patches für Android 14 bis 16 sollen im Mai 2026 ausgerollt werden.
Ivanti warnte vor einer aktiv ausgenutzten Zero-Day-Lücke (CVE-2026-6973) im Endpoint Manager Mobile. Angreifer können mit Administratorrechten Code ausführen.
Sicherheitslücke in Android 16 geschlossen
Entwickler von GrapheneOS schlossen die „Tiny UDP Cannon“ genannte Lücke in Android 16. Sie ermöglichte Datenlecks trotz aktiviertem VPN. Google stufte die Behebung als nicht praktikabel ein, GrapheneOS deaktivierte die Funktion Anfang Mai.
Psychologische Manipulation als neuer Fokus
Die aktuellen Vorfälle zeigen: Rein technische Schutzmaßnahmen stoßen an Grenzen. Wenn Angreifer legitime Plattformen wie PayPal nutzen, versagen automatisierte Spam-Filter. Eine Studie von PureVPN belegt: In 74 Prozent der Sicherheitsverletzungen spielt menschliches Versagen eine Rolle.
Politisch verschärft sich die Debatte um Verschlüsselung. Apple und Meta äußerten massive Bedenken gegen Kanadas Gesetzesentwurf Bill C-22. Er könnte Unternehmen zwingen, Hintertüren in die Ende-zu-Ende-Verschlüsselung einzubauen.
Schutzmaßnahmen für Verbraucher
Experten raten: Keine Telefonnummern aus E-Mails nutzen, Support-Kontakte stets manuell über die offizielle Webseite aufrufen. Passwortmanager und hardwarebasierte Sicherheitskeys erschweren den Diebstahl von Anmeldedaten durch Social Engineering.
Apple bereitet iOS 26.5 mit Sicherheitsfixes und RCS mit Ende-zu-Ende-Verschlüsselung vor. Google startete zum 1. Mai 2026 das Programm „Binary Transparency“ für bessere Integritätsprüfung von Android-Komponenten.
