Phishing-Kampagne: Betrüger ködern Studenten mit kostenlosem Klavier
Sicherheitsforscher von Proofpoint haben eine Phishing-Kampagne aufgedeckt, die primär auf Studenten abzielt und bei der ein ungewöhnlicher Köder zum Einsatz kommt: ein "kostenloses Klavier" . Ziel der Angreifer ist ein sogenannter Vorschussbetrug . Die Betrüger versuchen, ihre Opfer dazu zu bringen, eine Vorauszahlung für den Versand des Musikinstrumentes zu leisten. Tatsächlich geliefert wird allerdings nichts.
Wie die Forscher in ihrem Bericht(öffnet im neuen Fenster) erklären, läuft die Kampagne mindestens seit Januar 2024. Proofpoint registrierte bisher mehr als 125.000 Nachrichten, die mit der Phishing-Kampagne in Verbindung stehen.
In einer ersten E-Mail ködern die Angreifer ihre Opfer demnach mit dem Klavier, das aus angeblichen Gründen wie einem Todesfall in der Familie verschenkt werden soll. Die Zielpersonen werden in der Nachricht dazu aufgefordert, Kontakt zu einem "Versanddienstleister" aufzunehmen. Letzterer liefert nach der Kontaktaufnahme Details zum Klavier und bittet um eine Vorauszahlung für den Versand.
Klavier zu verschenken - aber nicht der Versand
Beispiele solcher Mails sind im Proofpoint-Bericht zu sehen. Darin bietet ein angeblicher Assistenzprofessor ein kostenloses und kaum benutztes Yamaha Baby Grand Piano aus dem Jahr 2014 an - ein Instrument, für das in der Regel ein fünfstelliger Geldbetrag aufgerufen wird. Der Versand soll je nach Lieferzeit zwischen 595 und 915 US-Dollar kosten und über Dienste wie Zelle, Cash App, Paypal, Chime oder Apple Pay im Voraus bezahlt werden.
Die Betrüger vermitteln eine gewisse Dringlichkeit, indem sie darauf hinweisen, dass mehrere Personen Interesse am Erhalt des Klaviers gezeigt hätten und "die erste Person, die für die Lieferung bezahlt, es erhalten wird" . Ist die Zahlung erfolgt, leiten die Betrüger das Geld laut Proofpoint auf eine Bitcoin-Wallet um. Die Forscher fanden eine solche Wallet mit Transaktionen im Gesamtwert von mehr als 900.000 US-Dollar.
Jedoch scheint dieses Geld nicht ausschließlich aus der Masche mit dem Klavier zu stammen. Aufgrund des hohen Transaktionsvolumens und der unterschiedlichen Geldbeträge nimmt das Forscherteam an, dass dieselbe Wallet-Adresse von mehreren Akteuren für verschiedene Arten von Betrügereien gleichzeitig verwendet wird. Proofpoint geht davon aus, dass zumindest ein Teil der Betrügergruppe von Nigeria aus operiert, da einem der Täter eine nigerianische IP-Adresse zugeordnet werden konnte.