Strafverfolgungsbehörden haben ein weitreichendes Phishing-Netzwerk zerschlagen. Im pakistanischen Punjab konnten zwei Hauptmitglieder eines weltweit agierenden Syndikats festgenommen werden. Die Gruppe nutzte eine als „Tycoon2FA“ bekannte Infrastruktur, um sensible Finanzdaten abzugreifen.
96.000 manipulierte Banking-Apps
Die Ermittlungen ergaben: Das Syndikat generierte mehr als 96.000 Phishing-Apps und schädliche Links. Ziel war es, Anmeldedaten für Online-Banking sowie Einmalpasswörter zu entwenden. Damit umgingen die Täter die gängige Zwei-Faktor-Authentisierung.
Betroffen waren nicht nur Nutzer in Pakistan. Auch in Europa, Nord- und Südamerika sowie Zentralasien wurden Opfer identifiziert. In Lahore nahmen Ermittler zudem zwölf Mitglieder einer Cybercrime-Bande fest, die seit 2019 aktiv gewesen sein soll. Diese Gruppe verkaufte die Tycoon2FA-Anwendung rund 66.000 Mal und betrieb gefälschte Botschafts-Websites. Die Erlöse flossen unter anderem in Immobilien in Islamabad. Interpol hat Fahndungsaufrufe für vier weitere flüchtige Verdächtige eingeleitet.
„Phishing-as-a-Service“-Modell „Kratos“ unschädlich gemacht
Parallel zu den Erfolgen in Südasien meldeten das Bundeskriminalamt und die Zentralstelle zur Bekämpfung der Internetkriminalität einen Erfolg gegen den Phishing-Dienst „Kratos“. Gemeinsam mit US-amerikanischen und indonesischen Behörden wurde die technische Infrastruktur der Plattform unschädlich gemacht. Ein mutmaßlicher Entwickler wurde in Indonesien festgenommen.
Angesichts der Zerschlagung professioneller Phishing-Plattformen wird deutlich, wie gezielt Kriminelle versuchen, den Schutz der Zwei-Faktor-Authentisierung auszuhebeln. Dieser kostenlose PDF-Report zeigt Ihnen, wie Sie mit der neuen Passkey-Technologie Ihre Konten bei Amazon, WhatsApp und Co. endlich unhackbar machen. Passkey-Ratgeber jetzt kostenlos herunterladen
Die Plattform bot ein „Phishing-as-a-Service“-Modell an. Rund 1.800 registrierte Nutzer konnten damit monatlich etwa 15.000 Kampagnen durchführen – vor allem mit gefälschten Microsoft-Login-Seiten. Seit 2024 generierte der Dienst Schätzungen zufolge mehr als 300.000 Euro. Über 200 Server wurden neutralisiert.
Neobanken im Visier der Betrüger
Die aktuellen Ermittlungserfolge fallen in eine Zeit massiv steigender Fallzahlen im digitalen Finanzbetrug. Ein Bericht der Financial Intelligence Unit verzeichnet für 2025 einen deutlichen Anstieg der Verdachtsmeldungen – insbesondere bei Neobanken. Dort stieg die Zahl von 34.357 im Vorjahr auf 108.158. Fast jede dritte Verdachtsmeldung in Deutschland entfällt mittlerweile auf diesen Sektor.
Sicherheitsexperten warnen zudem vor neuen modularen Banking-Trojanern, die speziell auf deutsche Bankkunden abzielen. Diese Schadsoftware nutzt Plug-ins zum Abfangen von SMS und zur Fernsteuerung von Geräten. Die Zahl der Angriffe durch Android-Banking-Trojaner stieg im Jahresvergleich um 56 Prozent. Betroffen sind Kunden großer Institute wie der Deutschen Bank, der Commerzbank und der Postbank.
Da die Zahl der Angriffe durch Android-Banking-Trojaner massiv ansteigt, ist ein spezieller Schutz für mobile Endgeräte für Nutzer von Online-Banking und PayPal unerlässlich. Erfahren Sie in diesem Gratis-Ratgeber, mit welchen 5 einfachen Sofort-Maßnahmen Sie Ihr Smartphone wirksam gegen Hacker und Datenmissbrauch absichern. Kostenlosen Android-Sicherheits-Leitfaden sichern
Sparkassen warnen vor Phishing, Apple vor FaceTime-Betrug
Neben technischen Angriffen setzen Kriminelle verstärkt auf Social Engineering. Aktuell warnen Sparkassen vor Phishing-E-Mails, die Kunden unter dem Vorwand einer notwendigen Kontoaktualisierung zur Preisgabe von Daten drängen. Auch Apple veröffentlichte Warnhinweise zu Betrugsversuchen via FaceTime: Täter geben sich als Bankmitarbeiter aus, um Apple-IDs und Zahlungsinformationen zu stehlen.
Zusätzliche Gefahr geht vom sogenannten „Quishing“ aus. Dabei werden manipulierte QR-Codes in gefälschten Bankbriefen oder an öffentlichen Orten wie Ladestationen platziert. Sie leiten Nutzer auf Phishing-Websites. Fachleute raten: QR-Codes aus unbekannten Quellen nicht scannen – und bei Verdacht sofort das Kreditinstitut sowie die Polizei informieren.
