152.000 Zugriffe auf gefälschte Medienartikel geblockt

Innerhalb von nur drei Tagen registrierte Avast eine Betrugskampagne, die gefälschte Medienberichte für KI-Investment-Scams nutzte.

Vertrauen als Angriffsfläche

Warum wirkt die Kombination aus vertrauenswürdigen Medienmarken, vermeintlichen Prominenten-Interviews und verlockenden KI-Versprechen so glaubwürdig, und was können IT-Entscheidungsträger daraus lernen?

Markenmissbrauch ist für Security-Teams kein neues Phänomen. Bemerkenswert ist jedoch, wie raffiniert die Angreifer verschiedene Vertrauenssignale miteinander verknüpfen. Die Daten von Avast zeigen das Ausmaß einer aktuellen Betrugsmasche in Deutschland: Innerhalb von nur 72 Stunden stoppte Avast mehr als 152.000 Zugriffe aus Deutschland auf entsprechende Betrugsseiten. 

Die Täter setzen dabei auf ein altbewährtes Prinzip: Vertrauen. Sie imitieren den Look etablierter Medien wie Tagesschau, ZDFheute oder BILD und kombinieren diesen gezielt mit den Gesichtern bekannter Persönlichkeiten wie Tino Chrupalla, Alice Weidel oder Carsten Maschmeyer. Der vertraute optische Eindruck soll die kritische Distanz der Nutzer:innen  senken. Betrüger machen sich auch aktuelle Ereignisse wie die jüngste Landtagswahl in Sachsen-Anhalt zunutze, um ihre Betrugsnarrative glaubwürdiger erscheinen zu lassen. Die Geschichte folgt dabei stets einem ähnlichen Muster: Die Prominenten hätten angeblich mit einer geheimen KI-Investmentplattform Geld verdient. 

Verbreitung über Popunder-Ads

Bemerkenswert ist insbesondere der Verbreitungsweg der Kampagne. Zum Einsatz kommen Popunder-Ads auf Adult-Content-Plattformen. Spielen Nutzer:innen dort ein Video ab, öffnet sich unbemerkt im Hintergrund ein neues Browserfenster mit dem gefälschten Artikel. Das eigentliche Betrugsszenario beginnt jedoch erst im nächsten Schritt. Sobald Nutzer:innen auf den gefälschten Portalen landen, greift eine mehrstufige Manipulationskette:

• Datenerfassung: Die Opfer tragen ihre Kontaktdaten auf der angeblichen Handelsplattform ein. 
• Telefonische Kontaktaufnahme: Anschließend nimmt ein vermeintlicher Berater Kontakt zu den Betroffenen auf.
• Ersteinzahlung: Durch gezielte Gesprächsführung werden die Betroffenen zu einer Überweisung von mindestens 250 Euro veranlasst.
• Fiktive Renditen: Im Kundenkonto wird daraufhin ein vermeintlicher Wertzuwachs der Investition angezeigt. Eine tatsächliche Auszahlung bleibt in solchen Fällen aus.

Auch wenn die Daten dieser Kampagne primär Angriffe auf Verbraucher:innen abbilden, lässt sich daraus eine wichtige Lehre für die IT-Sicherheit in Unternehmen ziehen: Die Kampagne zeigt, dass eine starke Sicherheitskultur auch Betrugsformen abdecken muss, die außerhalb klassischer Phishing-Mails stattfinden. Landen Nutzer:innen über unbemerkte Popunder-Tabs auf präparierten Seiten, kann daraus insbesondere dann ein Risiko für die Datensicherheit entstehen, wenn sie mit den Inhalten interagieren.

Da sich private und berufliche Nutzungskontexte auf Dienstgeräten überschneiden, stellt modernes Social Engineering eine zentrale Gefahr für Unternehmen dar, weil es gezielt menschliches Vertrauen, Routinen und Entscheidungen ausnutzt. Das zeigt einmal mehr: Awareness-Programme sollten nicht bei klassischem E-Mail-Phishing aufhören, sondern auch webbasierte Betrugsformen, Brand Impersonation und andere Social-Engineering-Methoden berücksichtigen.

Worauf es beim Schutz ankommt

Gegen Kampagnen dieser Art ist das Zusammenspiel aus technischem Schutz und geschärfter Aufmerksamkeit entscheidend:

• Sensibilisierung für Brand Impersonation und Lookalike-Domains: Das Design etablierter Webseiten lässt sich relativ einfach imitieren. Ein genauer Blick auf den tatsächlichen Domainnamen in der Adresszeile ist daher ein wichtiger Schritt, um gefälschte Markenauftritte zu erkennen.
• Sensibilisierung für aktuelle Betrugsnarrative: Auch bei Themen wie KI-Investments bleibt Wachsamkeit ein wichtiger Schutzfaktor. Versprechungen außergewöhnlich hoher Gewinne bei vermeintlich geringem oder keinem Risiko sollten grundsätzlich als klares Warnsignal gelten.
• Automatische Filter und Schutzmechanismen: Webschutz, DNS-Filter und aktuelle Endpoint-Security-Lösungen können den Zugriff auf bekannte betrügerische oder schädliche Domains blockieren und damit eine zusätzliche Schutzebene schaffen.