Hacker nutzten eine legitime Finanzplattform, um gestohlene Bankzugänge zu testen, ohne für die Prüfungen zu bezahlen.
In einem Bericht vom 20. Okt. beschrieb Group-IB, wie Kriminelle einen nicht namentlich genannten Ausgabenverwaltungsdienst missbrauchten, um gestohlene Zugangsdaten zu überprüfen und Phishing-Nachrichten zu verbreiten.
Für Sicherheitsteams legt der Fall eine Überwachungslücke offen: Die Verknüpfung von Konten und Kundenbenachrichtigungen können Betrug ermöglichen, bevor Transaktionskontrollen überhaupt erkennen, dass Geld bewegt wird.
Die Verknüpfung von Konten legte Bankguthaben und Transaktionsverläufe offen
Kunden konnten externe Bankkonten über einen Open-Banking-Aggregator verknüpfen. Erfolgreiche Verknüpfungen lieferten Kontostände und Transaktionsverläufe zurück. So konnten Kriminelle bestätigen, welche gestohlenen Zugangsdaten funktionierten, und Konten mit Guthaben identifizieren.
Die manuelle Verknüpfung über Bankleitzahlen und Kontonummern lieferte nicht dieselben Informationen. Die Angreifer missbrauchten stattdessen die anmeldungsbasierte Verbindung, um Zugangsdaten zu testen, ohne eine Zahlung zu veranlassen.
Group-IB schätzt dass die Verifizierung über Open Banking Plattformen üblicherweise etwa 0,30 bis 1 US-Dollar pro erfolgreicher Verbindung kostet, abhängig von den Abrechnungsmodalitäten. Dabei handelt es sich um Branchenschätzungen, nicht um bestätigte Gebühren für den betroffenen Dienst. Die Kriminellen erhielten die Ergebnisse, ohne die Verifizierungsgebühren selbst zu bezahlen.
Gefälschte Marktplatzbenachrichtigungen halfen den Angreifern, Bankdaten zu sammeln
Ende April 2026 meldete die Plattform, dass ihre Systeme für Zahlungsbenachrichtigungen und E-Mails missbraucht würden, um täglich Phishing-Links an Tausende Empfänger zu verbreiten. Betrüger registrierten Konten mit Wegwerf-E-Mail-Adressen und erstellten Nachrichten, die sich als Poshmark ausgaben und den Empfängern mitteilten, dass ein Verkauf eine Identitätsprüfung erfordere.
Verkürzte Links leiteten die Empfänger auf gefälschte Marktplatzseiten mit Countdown-Timern weiter. Betrügerische Formulare erfassten persönliche Informationen und Kartendaten und forderten teilweise Bankzugangsdaten oder Einmalpasscodes an.
Ermittler brachten die Phishing-Aktivitäten anhand gemeinsamer Geräte-Fingerabdrücke, die am 27. und 28. April erfasst worden waren, mit den Konten zum Testen von Zugangsdaten in Verbindung. Beide Operationen liefen gleichzeitig, sodass neu abgefangene Verifizierungscodes schnell verwendet werden konnten. Die Forscher fanden Ähnlichkeiten mit Classiscam, einer Betrugsoperation nach dem Modell „Scam-as-a-Service“.
Group-IB verkürzte anschließend die benötigte Zeit zum Sperren verdächtiger Konten von mehreren Stunden auf weniger als eine Minute. Im Mai 2026 wurden mehr als 230 betrügerische Konten gestoppt. Der Bericht nennt weder die Plattform noch beziffert er die Gesamtschäden. Group-IB bewertete die Aktivitäten als mit Classiscam vereinbar, schrieb sie dieser Operation jedoch nicht definitiv zu.
Finanzplattformen sollten Aktivitäten untersuchen, bevor Geld bewegt wird
Für Organisationen, die Finanzintegrationen betreiben, muss die Betrugserkennung Aktivitäten vor einer Zahlung abdecken. Je nachdem, welche Dienste Sie verwalten, können mehrere Prüfungen dabei helfen, Missbrauch zu erkennen, bevor Angreifer verifizierte Zugangsdaten anderweitig verwenden.
- Administratoren von Fintechs und Plattformen. Prüfen Sie wiederholte Versuche, Bankkonten von neu registrierten Konten aus zu verknüpfen, und setzen Sie verdächtige Registrierungen mithilfe von Bot-Schutz und Geräteanalysen miteinander in Beziehung. Vergleichen Sie Aggregatorgebühren mit legitimen Kundenverbindungen, um nicht erklärbare Verifizierungskosten zu erkennen.
- Betrugs- und Messaging-Teams. Untersuchen Sie Häufungen von Zahlungsbenachrichtigungen, die an unbekannte Empfänger gesendet werden, insbesondere von neuen Konten aus. Prüfen Sie eingebettete Links und setzen Sie Maßnahmen gegen Phishing über legitime Dienste ein, um zu verhindern, dass Finanzbenachrichtigungen betrügerische Anweisungen verbreiten.
- Sicherheitsteams von Banken. Untersuchen Sie ungewöhnliche Verbindungen zu Konten Dritter, wenn Credential-Stuffing-Aktivitäten oder der Einsatz gestohlener Zugangsdaten vermutet wird. Prüfen Sie kürzlich erteilte Autorisierungen, widerrufen Sie, sofern unterstützt, unbekannte Verbindungen und koordinieren Sie die Zurücksetzung von Zugangsdaten mit den betroffenen Kunden.
Finanzteams sollten Verifizierungskosten ebenfalls gemeinsam mit den Sicherheitserkenntnissen überprüfen, da ungewöhnliche Anstiege bei den Abrechnungen auf Missbrauch hindeuten können, den die Transaktionsüberwachung übersieht. Werden solche Muster früh erkannt, können Organisationen das Testen von Zugangsdaten unterbrechen, bevor Kriminelle die Informationen für weiteren Betrug nutzen.
Weitere Nachrichten zur Cybersicherheit: Ein kompromittierter ETS-Login legte sensible Datensätze offen von Millionen aktueller und ehemaliger Studierender in Kalifornien.