Ein Angreifer überwachte laut Cybernews Handelsplattformen für Geschenkkarten und fing neu hochgeladene Karten ab. Teile der Abläufe liefen mit KI.
Mit KI
Offener Server enthüllt Betrug mit Geschenkkarten
Bildquelle: Kateryna Hnatiuk/Shutterstock.com
Das Rechercheteam von Cybernews hat einen ungeschützten Server eines Angreifers entdeckt, der eine umfangreiche Betrugsoperation mit Geschenkkarten dokumentiert. Der Server enthielt Quellcode, Notizen zu Angriffen, Datenbanken und Ergebnisse. Gefunden wurde er am 19. Juli 2026, laut den Forschern lief die Operation mindestens seit März 2026. Am 14. August war der Server nicht mehr erreichbar.
Abfangen frisch hochgeladener Karten
Im Fokus standen Plattformen, auf denen Nutzer Geschenkkarten untereinander kaufen, verkaufen oder tauschen. Der Angreifer hatte zunächst 58 solcher Handelsplattformen und 3 Krypto-Börsen, die Geschenkkarten als Zahlungsmittel akzeptieren, ausgekundschaftet. Seine Haupteinnahmequelle war vermutlich das Abfangen neu hochgeladener Geschenkkarten, bevor der reguläre Handel abgeschlossen war. Dafür fanden die Forscher zehn Python-Skripte für zehn Plattformen, die neue Uploads meist innerhalb von 90 Sekunden überwachten. Ausgenutzt wurden vor allem öffentlich zugängliche Speicher-Buckets und Fehlkonfigurationen, über die sich die Authentifizierung umgehen oder auf Daten zu Geschenkkarten zugreifen ließ.
Am stärksten betroffen war offenbar die Plattform Cardlumi. Zu ihr fanden sich auf dem Server 4.098 Bestelldatensätze, 3.690 Bild-Hashes und 3.998 abgefangene Bilder von Geschenkkarten. Bei der Plattform Cardtonic erlaubte eine fehlkonfigurierte Schnittstelle offenbar jedem angemeldeten Nutzer, Details zu beliebigen Transaktionen abzurufen, einschließlich Kartencodes im Klartext und E-Mail-Adressen. Diese Lücke testete der Angreifer laut den Daten aber nur als Machbarkeitsnachweis.
Zwei weitere Betrugsmaschen
Zudem fanden die Forscher Material zu zwei weiteren Operationen. Eine richtete sich gegen Trustonic ALPS, eine Cloud-Plattform, mit der Mobilfunkanbieter Geräte etwa bei Diebstahl aus der Ferne sperren und entsperren. Der Angreifer kombinierte gestohlene Zugangsdaten mit einer Fehlkonfiguration, über die angeblich auch Nutzer mit Leserechten die Regeln zum Sperren und Entsperren ändern konnten. Hinweise auf eine massenhafte Ausnutzung fanden die Forscher nicht.
„Die Untersuchung ergab, dass die Zugangsdaten durch Malware-Infektionen auf den Endgeräten der betroffenen Kunden kompromittiert wurden”, erklärte Trustonic.
Infostealer hätten sie bei der Anmeldung direkt aus den Browsern abgegriffen. Ein Sicherheitsvorfall auf der eigenen Plattform liege nicht vor. Trustonic hat die Betroffenen informiert und die Passwörter zurückgesetzt.
Die zweite Operation betraf das Werkzeug Octoplus Box für die Wartung von Mobiltelefonen. Der Angreifer richtete einen gefälschten Dienst ein und verkaufte über einen Telegram-Bot mit zehn kompromittierten Konten Leistungen zu überhöhten Preisen. Eine Datenbank enthielt Benutzernamen, Passwörter im Klartext und 341 Transaktionen.
KI im Arbeitsablauf
Laut Cybernews setzte der Angreifer bei der Geschenkkarten-Operation Claude von Anthropic als zentralen KI-Agenten ein. Auf dem Server fanden sich zudem persönliche E-Mail-Adressen, die dem Angreifer gehören könnten, sowie spanischsprachige Berichte.
(red)
