Sicherheit · 10. November 2026
CTM360 deckt globale Betrugsnetzwerke mit gefälschten Geschenkkarten auf
Die Sicherheitsfirma CTM360 hat ein weit verbreitetes Netzwerk aus betrügerischen Belohnungsportalen und gefälschten Geschenkkartenaktionen aufgedeckt, die weltweit Verbraucher täuschen. Diese Kampagnen locken Nutzer in irreführende Verifizierungsschleifen und zwingen sie zu kostenpflichtigen Abonnements, ohne jemals die versprochenen Belohnungen auszuliefern. Die Angriffe nutzen das Vertrauen in bekannte Marken aus, um persönliche Daten zu sammeln und Einnahmen durch Affiliate-Monetarisierung zu generieren.
Analysten von CTM360 haben mehr als tausend Vorfälle identifiziert, die mit dieser wiederkehrenden Kampagne in Verbindung stehen. Die Angreifer nutzen die Vertrautheit der Verbraucher mit etablierten Marken aus und geben sich häufig als große Einzelhändler und Verbraucherplattformen aus. Zu den nachgeahmten Marken gehören unter anderem PlayStation, Sephora, SHEIN, Walmart und Amazon. Um die Glaubwürdigkeit zu erhöhen und potenzielle Opfer anzulocken, verlassen sich die Kampagnen stark auf die Verteilung über soziale Medien. Die zugrunde liegende Infrastruktur ist hochgradig modular aufgebaut, sodass die Bedrohungsakteure die nachgeahmte Marke, den Celebrity-Köder und den Domainnamen austauschen können, ohne den Kern der Betrugsmaschinerie neu aufbauen zu müssen.
Der Ablauf der Kampagne folgt einem strukturierten Betrugslebenszyklus, der systematisch psychologische Stufen von Neugier, Vertrauen und Dringlichkeit ausnutzt. Sobald ein Nutzer auf eine schädliche Anzeige klickt, wird er zu einem betrügerischen Belohnungsportal weitergeleitet. Diese Websites zeigen gefälschte Fortschrittsbalken und überzeugende Werbebotschaften an, um glaubwürdig zu wirken. Nach der Auswahl eines Geschenkkartenwerts läuft eine skriptgesteuerte visuelle Animation, die die Generierung der Karte im Hintergrund simuliert. Das Portal zeigt dann einen teilweise maskierten Code an, um den Nutzer davon zu überzeugen, dass die Belohnung echt und bereit zur Abholung ist.
Bevor der vollständige Code enthüllt wird, wird das Opfer mit einer täuschenden Sicherheitsprüfung oder einem menschlichen Verifizierungsgate konfrontiert. Dieser Schritt ist kein legitimer Sicherheitscheck, sondern ein irreführender Übergang zu Aktivitäten von Drittanbietern, die darauf ausgelegt sind, Einnahmen für die Betreiber zu generieren. Die Opfer werden in eine endlose Schleife aus Aufgaben gedrängt. Wenn ein Nutzer eine Aufgabe abschließt, erhält er nicht die Geschenkkarte. Die Website meldet den Schritt einfach als unvollständig und drängt das Opfer zu einem weiteren Angebot. In allen von CTM360 getesteten Abläufen wurde keine Belohnung ausgeliefert.
Im Gegensatz zu traditionellem Phishing, das Benutzeranmeldeinformationen stiehlt, arbeitet diese Kampagne nach einem Volumen- und Konversionsmodell. CTM360 beobachtete, dass Köderseiten Opfer über Affiliate-Tracking-URLs weiterleiten. Dieses Tracking-Token verknüpft die Registrierung des Opfers direkt mit dem Affiliate-Netzwerk-Konto des Bedrohungsakteurs. Wenn ein Opfer eine Mobilfunknummer eingibt und eine PIN- oder OTP-Verifizierung für ein Abonnement abschließt, erhält der Bedrohungsakteur eine Provision. Die Folgen für die Opfer gehen über verschwendete Zeit hinaus und umfassen die Preisgabe persönlicher Informationen, unerwartete Mobilfunkgebühren und einen Zustrom von Spam. Für Organisationen stellt dies einen schweren Missbrauch des Markenrufs dar.