Cyberkriminelle bringen Opfer dazu, auf gefälschten FBI-Websites Kriminalitätsanzeigen zu erstatten … und sich mit deren vertraulichsten Daten davonzumachen.
Eine neu aufgedeckte Phishing-Kampagne hat das Portal des Internet Crime Complaint Center (IC3) des FBI geklont und leitet Besucher auf gefälschte Domains um, die persönliche und finanzielle Informationen in Echtzeit abgreifen. Opfer, die glaubten, der Bundesregierung Betrugsfälle zu melden, gaben stattdessen ihre Namen, Adressen, Sozialversicherungsnummern und Bankdaten an Bedrohungsakteure preis.
Das FBI warnte am 19. September, dass diese Angriffe nicht nur Einzelpersonen gefährden, sondern auch das Vertrauen in einen der wichtigsten Kanäle des Landes zur Meldung von Cyberkriminalität untergraben.
Zunehmend ausgefeilte Fälschungen von Regierungswebsites
Die Kampagne macht deutlich, wie ausgefeilt die Nachahmung von Regierungswebsites inzwischen ist.
Personen, die Domains wie icc3[.]live und ic3a[.]com besuchten, glaubten, dort Kriminalitätsanzeigen zu erstatten. Tatsächlich gaben diese Websites jedoch Namen, Adressen, Telefonnummern, Sozialversicherungsnummern und Bankdaten an Bedrohungsakteure preis.
Da IC3 als zentraler Kanal zur Meldung von Cyberkriminalität dient, untergraben die Angriffe das Vertrauen in die Portale der Strafverfolgungsbehörden und könnten Ermittlungen erschweren.
So funktioniert der Angriff
IC3-Analysten haben die gefälschten Websites erstmals am 18. September gemeldet, nachdem mehrere Opfer verdächtige Bestätigungs-E-Mails erhalten hatten, die den Eingang ihrer IC3-Meldungen vorgaben.
Diese E-Mails enthielten Links, die Nutzer auf betrügerische Domains umleiteten, die das legitime Portal ic3[.]gov perfekt nachahmten. Die geklonten Seiten reproduzierten das FBI-Siegel, das IC3-Banner und sogar das offizielle Beschwerdeformular, sodass sie von der echten Website kaum zu unterscheiden waren.
Sobald ein Opfer auf einem dieser gefälschten Portale landete, wurden alle in die Webformulare eingegebenen Daten – etwa Namen, Adressen, Telefonnummern, Sozialversicherungsnummern, Bankdaten oder E-Mail-Zugangsdaten – im Klartext über HTTP übertragen. Dabei wurden die verschlüsselten Schutzmechanismen umgangen, die auf der echten IC3-Website üblich sind.
Ein direkt in den HTML-Code eingebettetes, bösartiges JavaScript-Snippet übernahm das Submit-Ereignis des Formulars und erfasste unbemerkt sämtliche Eingaben, bevor die Seite einen Fehler anzeigen oder zu einer anderen Ansicht weiterleiten durfte.
Das Skript installierte außerdem Listener in Eingabefeldern, wodurch die Angreifer Tastenanschläge protokollieren und Browser-Cookies oder Sitzungsdaten abgreifen konnten. Da der Code mit legitimen Seitenelementen verschmolz, anstatt sich wie eine herunterladbare Datei zu verhalten, hatten herkömmliche Antivirenprogramme kaum eine Chance, ihn zu erkennen.
Eine spätere Netzwerkanalyse zeigte, dass jede Übermittlung eines Formulars sofort eine POST-Anfrage an von den Angreifern kontrollierte Endpunkte auslöste – ein Beleg für die Exfiltration in Echtzeit. Die gefälschte Infrastruktur wurde über sogenannte „kugelsichere“ Anbieter betrieben, die einen schnellen Domainwechsel ermöglichten und es Verteidigern erschwerten, die bösartigen Websites offline zu nehmen.
Diese Kombination aus geklonter Markenaufmachung, unauffälligen Skripten und widerstandsfähigem Hosting ermöglichte es der Kampagne, trotz ihrer frühzeitigen Entdeckung fortzubestehen. Dies ist nicht das erste Mal, dass Bedrohungsakteure das FBI imitieren.
So bleiben Sie geschützt
Das FBI rät Nutzern, direkt zu www.ic3.gov zu navigieren, anstatt auf Links in E-Mails oder Suchergebnissen zu klicken. Überprüfen Sie stets das .gov-Zertifikat, meiden Sie verdächtige Grafiken und geben Sie niemals Zahlungsdaten oder Zugangsdaten auf nicht offiziellen Websites ein.
Um die Gefährdung durch gefälschte IC3-Websites zu verringern, können Organisationen folgende Maßnahmen ergreifen:
- DNS-Protokolle auf verdächtige IC3-bezogene Domains überwachen.
- Netzwerkfilter einsetzen, um bekannte Fälschungsinfrastrukturen zu blockieren.
- Mitarbeiter für Phishing sensibilisieren und über sichere Surfpraktiken informieren.
- Zero-Trust-Prinzipien in Netzwerken und an Endpunkten stärken.
- Für alle Benutzerkonten eine Multi-Faktor-Authentifizierung verlangen.
- Richtlinien für sicheres Surfen für Mitarbeiter durchsetzen, die IC3 möglicherweise für offizielle Meldungen nutzen.
- Ressourcen zu Strategien zur Phishing-Abwehr konsultieren, um weitere Kontrollen einzuführen.
Die Fälschung wichtiger Regierungsportale spiegelt einen breiteren Trend wider, bei dem Bedrohungsakteure das Vertrauen in Institutionen ausnutzen, um Daten abzugreifen. Je mehr öffentliche Dienste online verfügbar werden, desto mehr Möglichkeiten erhalten Angreifer, bösartige Aktivitäten hinter offiziellen Logos und Domains zu verbergen. Kampagnen wie diese untergraben das Vertrauen der Öffentlichkeit und könnten Opfer letztlich davon abhalten, Cyberkriminalität zu melden.
Sicherheitsverantwortliche müssen Risiken durch Identitätsmissbrauch als Teil ihrer unternehmensweiten Bedrohungsmodellierung betrachten und sicherstellen, dass Mitarbeiter Regierungswebsites schnell und zuverlässig überprüfen können. Wie das FBI warnt, bleiben Wachsamkeit und die direkte Navigation zu Websites entscheidende Schutzmaßnahmen gegen die zunehmende Welle gefälschter Portale.
Mit der Weiterentwicklung von Phishing-Taktiken nutzen Angreifer zunehmend KI-gestützte Tools , um überzeugendere Köder zu entwickeln, wodurch die Risiken für Organisationen und Einzelpersonen gleichermaßen steigen.