Ein deutlicher Rückgang des Angriffsvolumens am Wochenende des 6. und 7. Juni, gefolgt von einem sprunghaften Anstieg am Montag, belegt, dass die Kampagnen gezielt berufliche Postfächer zu den Bürozeiten ins Visier nehmen. Im hektischen Arbeitsalltag, zwischen vollem Posteingang und engem Zeitplan, bleibt kaum Zeit, jede Mail kritisch zu prüfen. Kommt die Vorfreude auf die WM hinzu, klicken selbst sonst umsichtige Beschäftigte schnell auf ein vermeintliches Ticket- oder Gewinnangebot. Genau diese Mischung nutzen Angreifer systematisch aus.
Neue Telemetriedaten der KnowBe4 ThreatLabs zeigen, dass WM-bezogenes Phishing im Lauf des Turniers stetig zugenommen hat, statt nach den Eröffnungsspielen abzuebben. Die Forscher warnen, dass die K.-o.-Runde eine neue und vielfältigere Betrugswelle mit sich bringt, die auf Fans, Reisende und Jobsuchende abzielt. Der Bericht analysiert Phishing-Kampagnen von der ersten Aprilwoche bis zum 22. Juni, also vom Vorlauf über den Anpfiff am 11. Juni bis zu den ersten zwölf Tagen des laufenden Spielbetriebs. Es zeigte sich kein einmaliger Ausschlag zum Auftakt, sondern ein anhaltendes, sich beschleunigendes Aufkommen, das mit fortschreitendem Turnier weiter eskaliert. Dabei passen die Angreifer ihre Köder und ihr Betrugsmethoden fortlaufend an den Rhythmus des Spielplans an.
Das Ausmaß der Eskalation
Während des laufenden Spielbetriebs erreichte WM-Phishing einen 22-fachen Anstieg gegenüber dem Ausgangswert, der zu Beginn der Erhebung Ende April gemessen wurde. Allein am 22. Juni trug eine von 161 Phishing-Mails einen turnierbezogenen Absendernamen. Speziell das Spoofing der Marke FIFA liegt inzwischen beim Sechsfachen des ursprünglichen Werts, denn die Angreifer nutzen das Vertrauen aus, das Fans und Unternehmen „offiziellen“ Turniermitteilungen entgegenbringen.
Zwei Muster stechen in den Daten heraus. Erstens schwankt die Anzahl der Phishing-Angriffe stark im Takt des Spielplans, fällt an spielfreien Tagen nahezu auf null und schnellt rund um einzelne Partien wieder auf Höchstwerte. Diese Abstimmung auf die Spieltage bestätigt, dass die Angriffswellen gezielt mit den Spielen getaktet und bewusst geschäftliche Postfächer während der Arbeitszeit angegriffen werden. Zweitens zeigt sich ein gezielter Wandel des Brand-Phishings. Generische „World Cup"-Köder erreichten vor dem Turnier ihren Höhepunkt und gingen mit Beginn der Spiele zurück, abgelöst von der direkten Imitation der Marke „FIFA", die während des laufenden Spielbetriebs dominiert und doppelt so häufig auftrat wie generische Markenfälschungen. Mitteilungen der FIFA werden von den Empfängern während des Turniers erwartet, weshalb der Name des Verbands für Fans Vertrauenswürdigkeit suggeriert.
Die Bedrohungen beschränken sich nicht auf den englischsprachigen Raum. Die Forscher dokumentierten am 15. Juni eine deutschsprachige Variante des „FIFA-Mystery-Box"-Betrugs, bei dem den Fans die einmalige Gelegenheit auf ein offizielles Überraschungspaket der FIFA in Aussicht gestellt wird. Über eine gefälschte Umfrage greifen die Bedrohungsakteure am Ende sensible Daten ab. Das bestätigt, dass die Kampagnen gezielt auch deutschsprachige Nutzer ins Visier nehmen.
Drei unterschiedliche Kampagnentypen
Die Aktivität gliedert sich in drei getrennte Stränge, die das Turnier jeweils auf andere Weise ausnutzen und unterschiedliche Schutzmaßnahmen erfordern:
- Gezielter Recruiting-Betrug: Die technisch ausgefeilteste Kampagne zielt nicht auf Ticketkäufer, sondern auf Jobsuchende und gibt sich als offizielles Recruiting-Team der FIFA aus. Da die FIFA für ein Turnier mit 48 Mannschaften in 16 Städten Tausende Mitarbeiter und freiwillige Helfer einstellt, sind Bewerber ohnehin darauf eingestellt, persönliche Daten preiszugeben, sich anzumelden und Termine zu vereinbaren. Die Köder missbrauchen seriöse Cloud- und Helpdesk-Dienste, um die Authentifizierungsprüfungen zu bestehen. Statt schädlicher Anhänge setzen sie auf Aufforderungen zur Terminbuchung, die von Scannern nicht erkannt werden, und leiten die Opfer schließlich auf gefälschte Single-Sign-on-Seiten und Umfrageseiten, die in Echtzeit Zugangs- und Kreditkartendaten abgreifen.
- Massenhaftes Commodity-Phishing: Neben der gezielten Kampagnen existiert eine weitaus größere Menge aus massenhaft erzeugtem, automatisiertem Phishing, das die reale Knappheit von WM-Tickets ausnutzt. Die meisten Köder drehen sich um den Kauf, Verkauf oder die Weitergabe von Tickets. Die Kampagnen setzen polymorphe Techniken ein, die Links, Absendernamen und Metadaten bei jedem Versand verändern, um der Erkennung zu entgehen. Die regionalen Muster unterscheiden sich: In den USA überwiegt Betrug rund um die Ticketweitergabe, während in Großbritannien vermehrt Marketing- und Engagement-Köder wie gesponserte Watch-Partys und Merchandise-Rabatte auftauchen.
- Reply-Back- und Prämien-Betrug: Eine dritte, neu in den aktuellen Telemetriedaten entdeckte Methode kommt ganz ohne manipulierte Links oder Anhänge aus und bleibt dadurch für automatisierte E-Mail-Sicherheitslösungen weitgehend unsichtbar. Die Opfer werden mit hochwertigen Prämien geködert, von schlichten Gutscheinen bis zu VIP-Paketen im Wert von über 8.000 US-Dollar, und schlicht aufgefordert, zur Einlösung zu antworten. Die unverdächtige E-Mail passiert die Prüfung, und sobald ein Opfer antwortet, werden in Folgenachrichten Zugangsdaten zur „Bestätigung der Registrierung" verlangt, oder Überweisungen für erfundene Steuern und Bearbeitungsgebühren gefordert.
Was während der K.-o.-Runde noch zu erwarten ist
Die Forscher gehen davon aus, dass sich das Bedrohungsspektrum verbreitert, je näher das Turnier seinem Höhepunkt kommt und je stärker Fanbegeisterung, Reiseaufkommen und Ticketpreise steigen. Sie rechnen mit einer Zunahme von Ködern für illegale Streaming-Angebote mit vermeintlich kostenloser Live-Übertragung, einem Anstieg von Wett- und Gewinnspielbetrug ab dem Achtelfinale sowie wachsendem Betrug mit Fanartikeln und Trikot-Repliken, da die Fans bereit sind viel Geld für Markenartikel auszugeben. Auch Betrug rund um Fahrdienste, Parkplätze und die Stadionanreise dürfte zunehmen, vor allem an den US-Spielstätten, wo die autoabhängige Infrastruktur die Nachfrage nach solchen Diensten antreibt.
