Darum gehts
- Phishing-Software Magic Cat ermöglicht Kreditkartenbetrug in grossem Stil
- Betrüger nennen Opfer «Fische» und teilen Tipps in Telegram-Gruppen
- In der Schweiz klickten über 100'000 Personen auf Phishing-Links, Tausende gaben Daten preis
Es ist der perfekte Köder: «Ihr Paket konnte nicht zugestellt werden», eine solche SMS haben hierzulande schon viele erhalten. Wer auf den Link klickt, landet auf einer täuschend echt aussehenden Website der Post. Wer dann weitermacht, hat angebissen – und wird abgezockt.
Der Kreditkartenbetrug mit dem sogenannten Phishing ist nicht neu. Doch jetzt wird erstmals klar, dass dahinter System steckt, ausgeklügelte Software und ein mysteriöser Hintermann namens «Darcula». Das zeigt eine aktuelle Recherche des Senders NRK aus Norwegen, an der die Journalisten monatelang arbeiteten.
Die magische Katze
Die Betrüger nutzen dabei eine Software namens Magic Cat (magische Katze). Sie wurde speziell zum Betrügen programmiert. Eine Armada von Smartphones kann damit pro Tag mehrere Zehntausend SMS verschicken, im Namen von bekannten Institutionen aus dem gewählten Land. Zur Auswahl stehen über dreihundert Websites aus der ganzen Welt. Für die Schweiz gibt es drei Angebote für die Cyberkriminellen, welche die Software nutzen: Swiss, UBS und Post. Eine Lizenz für Magic Cat kostet 138 Dollar (rund 113 Franken) pro Woche.
Die Zahlen für die Schweiz sind alarmierend: Während die investigative Recherche lief (Oktober 2023 bis Juni 2024), klickten hierzulande 105'813 Personen auf einen Phishing-Link, der über Magic Cat verschickt wurde. 12'166 Personen gaben ihre Kreditkartendaten preis. Weltweit klickten im gleichen Zeitraum 13 Millionen Leute auf die Links, 884'000 Kreditkartendaten wurden erbeutet. Die Recherche basiert auf Analysen einer IT-Sicherheitsfirma.
Die Journalisten haben mit 140 Opfern gesprochen. Unter den Betroffenen waren Professorinnen, Studenten, Pastoren, Lehrerinnen, Anwälte und Unternehmerinnen – also Menschen aus allen Gesellschaftsschichten. Unklar ist, wie viel Geld die IT-Gangster mit der Masche verdienen. In einem Fall wurden einem Opfer über 8000 Franken abgenommen. Es ist ein Milliardengeschäft: Laut Juniper Research belief sich der Schaden durch E-Commerce-Betrug, zu dem auch Kreditkartenbetrug zählt, im Jahr 2024 weltweit auf etwa 44,3 Milliarden Dollar.
Partys in Bangkok
Die Journalisten werteten 40'000 Chat-Nachrichten aus, welche die Betrüger über den Messenger Telegram ausgetauscht hatten. Die Gangster nennen ihre Opfer intern Fische. Sie sprechen darüber, wo die Fische gerade am besten anbeissen – und teilen auch Tipps und Tricks. Die Masche ist wirkungsvoll: Die gefälschte Website fordert eine kleine Gebühr, wofür Kreditkartendaten benötigt werden. Während das Opfer die Daten eingibt, beobachtet der Betrüger alles in Echtzeit. Danach fügen die Betrüger die Karten zu digitalen Geldbörsen hinzu, tricksen den Opfern dafür den SMS-Code des Herausgebers ab und können die Karte damit fortan für Einkäufe nutzen.
In geschlossenen Telegram-Gruppen teilen die Betrüger Videos von Handys, die betrügerische SMS versenden, Lesegeräte zum Belasten der geklauten Karten und viele Bilder von Luxusgütern. Einer der aktivsten Betrüger in der Gruppe – er nennt sich x667788x – hat eine besondere Vorliebe für die französische Luxusmarke Louis Vuitton. Er zeigt stapelweise iPhones, teuren Schmuck und feiert in exklusiven Nachtclubs in Bangkok.
Die Jagd nach «Darcula»
Der Kopf hinter der internationalen Betrugsmaschine nennt sich «Darcula». Es ist jedoch nicht etwa eine falsche Schreibweise von der fiktiven Vampirfigur Dracula, sondern wohl eine Anspielung auf die dunkle gleichnamige Farbpalette. «Darcula» ist mutmasslich ein Entwickler von Magic Cat, also dem Werkzeug, das an Betrüger weltweit vermarktet wird. Online versteckt sich der Drahtzieher hinter Bildern von Katzen. Sein Gesicht zeigt er nie.
Herr Ruef, bewegen wir uns bei diesem Fall im Reich der Haie oder nur der kleinen Sardinen?
Marc Ruef*: Darcula ist seit 2024 in Betrieb, gilt als sehr gross und hochgradig professionell. Darcula heisst das Betrugsnetzwerk, Magic Cat das Framework für Phishing-as-a-Service. Täglich entstehen über 100 neue Phishing-Domains, die globale Marken missbrauchen.
Was macht diese Betrugsmasche so wirksam?
Der extreme Professionalisierungsgrad erlaubt technische und wirtschaftliche Skalierung: Die Betreiber verdienen prächtig, während ihre Kunden mit minimaler Hürde kriminell aktiv werden können.
Ist Phishing-as-a-Service neu?
Bereits ab 2010 verkauften Cyberkriminelle Phishing-Kits für einfache eigene Kampagnen. Seit 2015 etablierte sich Phishing-as-a-Service als nächste Stufe. Die Anbieter liefern komplette Infrastruktur, fertige Templates und Versandwerkzeuge. Angreifer kaufen den technisch anspruchsvollen Teil ein und müssen sich nicht mehr mit Details befassen.
Welche Sofortmassnahmen könnten Behörden gegen Magic Cat ergreifen?
Klassische Muster- und Anomalieerkennung hilft: Provider können verdächtige Domains früh identifizieren und Massenversand eindämmen. Darcula erzeugt jedoch blitzschnell neue Domains – ein Kampf gegen Windmühlen, den man dennoch führen muss.
Wie schützen sich Nutzerinnen und Nutzer?
Viele Kreditkartenanbieter ermöglichen geografische Einschränkungen und Währungslimits. Nutzern wird generell empfohlen, die Einsatzmöglichkeiten ihrer Kreditkarten so weit wie möglich zu begrenzen.
*Marc Ruef ist Head of Research bei der Zürcher IT-Sicherheitsfirma Scip AG. Er arbeitet seit den 1990er-Jahren im Bereich der Cybersicherheit.
Herr Ruef, bewegen wir uns bei diesem Fall im Reich der Haie oder nur der kleinen Sardinen?
Marc Ruef*: Darcula ist seit 2024 in Betrieb, gilt als sehr gross und hochgradig professionell. Darcula heisst das Betrugsnetzwerk, Magic Cat das Framework für Phishing-as-a-Service. Täglich entstehen über 100 neue Phishing-Domains, die globale Marken missbrauchen.
Was macht diese Betrugsmasche so wirksam?
Der extreme Professionalisierungsgrad erlaubt technische und wirtschaftliche Skalierung: Die Betreiber verdienen prächtig, während ihre Kunden mit minimaler Hürde kriminell aktiv werden können.
Ist Phishing-as-a-Service neu?
Bereits ab 2010 verkauften Cyberkriminelle Phishing-Kits für einfache eigene Kampagnen. Seit 2015 etablierte sich Phishing-as-a-Service als nächste Stufe. Die Anbieter liefern komplette Infrastruktur, fertige Templates und Versandwerkzeuge. Angreifer kaufen den technisch anspruchsvollen Teil ein und müssen sich nicht mehr mit Details befassen.
Welche Sofortmassnahmen könnten Behörden gegen Magic Cat ergreifen?
Klassische Muster- und Anomalieerkennung hilft: Provider können verdächtige Domains früh identifizieren und Massenversand eindämmen. Darcula erzeugt jedoch blitzschnell neue Domains – ein Kampf gegen Windmühlen, den man dennoch führen muss.
Wie schützen sich Nutzerinnen und Nutzer?
Viele Kreditkartenanbieter ermöglichen geografische Einschränkungen und Währungslimits. Nutzern wird generell empfohlen, die Einsatzmöglichkeiten ihrer Kreditkarten so weit wie möglich zu begrenzen.
*Marc Ruef ist Head of Research bei der Zürcher IT-Sicherheitsfirma Scip AG. Er arbeitet seit den 1990er-Jahren im Bereich der Cybersicherheit.
Doch nach monatelanger forensischer Detektivarbeit enttarnten die norwegischen Journalisten den mutmasslichen Hintermann. «Darcula» ist laut NRK ein 24-jähriger Chinese namens Yucheng C. aus der Provinz Huang. Als die Journalisten ihn mit ihrer Recherche konfrontierten, leugnete ein Vertreter seiner angeblichen Firma jede betrügerische Absicht und behauptete, sie seien lediglich «im Bereich der Netzwerksicherheit und Betrugsprävention» tätig.
Der Kontakt versprach jedoch, Magic Cat offline zu nehmen. Passiert ist das nicht. Im Gegenteil: Während die Ermittlungen liefen, wurde gar eine neue, verbesserte Version von Magic Cat veröffentlicht. Die digitale Fischerei bleibt also auch künftig ein lukratives Geschäft.