4 Millionen gestohlene Kreditkarten im Darknet

Der Darknet-Marktplatz B1ack’s Stash hat 4,6 Millionen gestohlene Kreditkartendaten kostenlos veröffentlicht. Sicherheitsforscher warnen vor Betrugswellen.

Der cyberkriminelle Untergrund-Marktplatz „B1ack’s Stash“ hat die kostenlose Veröffentlichung von insgesamt 4,6 Millionen gestohlenen Kreditkartendatensätzen im Darknet bekannt gegeben. Die sensiblen Finanzdaten wurden von den Betreibern der Plattform als direkter Download zur Verfügung gestellt. IT-Sicherheitsunternehmen überwachen den Vorfall intensiv, da ein Großteil der Daten als valide eingestuft wird und für unmittelbare Betrugsaktivitäten im Internet genutzt werden kann. Der Vorfall beleuchtet die internen Konflikte und Kontrollmechanismen innerhalb illegaler Handelsplattformen.

Interne Sanktionen führen zur Veröffentlichung der Datensätze

Die Motivation hinter der massenhaften Freigabe der Kreditkarten ist nicht primär politischer Natur, sondern das Resultat von internen Richtlinienverstößen auf dem Marktplatz. Den Angaben der Administratoren von B1ack’s Stash zufolge wurden mehrere registrierte Verkäufer (Sellers) dabei ertappt, wie sie exklusive Kreditkartendaten, die sie zuvor auf B1ack’s Stash erworben hatten, auf konkurrierenden Darknet-Plattformen weiterverkauften. Dies stellt einen direkten Verstoß gegen die Handelsbedingungen des Marktplatzes dar.

Als direkte Sanktionsmaßnahme gegen das Fehlverhalten der Händler sperrten die Betreiber des Marktplatzes zunächst rund 8 Millionen gestohlene CVV2-Sicherheitscodes aus dem aktiven Inventar. Anstatt die verbleibenden Datensätze der betroffenen Verkäufer jedoch einfach unwiderruflich aus dem System zu löschen, entschieden sich die Plattform-Administratoren dazu, die 4,6 Millionen Kreditkarten-Datensätze vollständig und ohne finanzielle Gegenleistung für alle registrierten Nutzer der Plattform freizugeben.

Vollständige Kreditkartennummern geleakt

Das IT-Sicherheitsunternehmen SOCRadar hat den freigegebenen Datentopf einer tiefgehenden forensischen Analyse unterzogen. Dabei stellten die Analysten fest, dass die Lecks eine ungewöhnlich hohe Informationsdichte aufweisen. Ein einzelner kompromittierter Datensatz enthält in der Regel die vollständigen Kreditkarteninformationen gepaart mit den persönlichen Identifikationsmerkmalen des Opfers. Zu den Kernbestandteilen der geleakten Einträge gehören:

• Finanzdaten: Die vollständige Kreditkartennummer (Primary Account Number, PAN), das Ablaufdatum der Karte sowie der dreistellige CVV2-Sicherheitscode.
• Persönliche Daten: Der vollständige Name des Karteninhabers, die hinterlegte Rechnungsadresse (Billing Address), die E-Mail-Adresse sowie die Telefonnummer.
• Technische Daten: Die spezifische IP-Adresse, die vom Opfer zum Zeitpunkt des Datendiebstahls genutzt wurde.

Aufgrund dieser lückenlosen Kombination aus Zahlungsdaten und persönlichen Hintergrundinformationen gehen die IT-Sicherheitsforscher davon aus, dass die Primärdaten nicht durch physische Skimming-Geräte an Geldautomaten oder Bezahlterminals entwendet wurden. Die Struktur der Daten deutet stattdessen systematisch auf den flächendeckenden Einsatz von digitalem E-Skimming (Magecart-Angriffe auf Online-Shops) oder auf großflächig koordinierte Phishing-Kampagnen hin.

Opfer über den Globus verteilt

Im Rahmen der datentechnischen Überprüfung validierten die Experten von SOCRadar Stichproben der veröffentlichten Datensätze auf ihre tatsächliche Aktualität und Verwendbarkeit. Die Analyse ergab, dass ein Teil der Datensätze bereits abgelaufene Kreditkarten betrifft oder als Duplikat aus früheren Datenlecks vorliegt. Dennoch klassifizieren die Analysten rund 4,3 Millionen der freigegebenen Datensätze als vollständig neu, verifiziert und potenziell direkt einsetzbar für betrügerische Aktivitäten.

Geografisch betrachtet sind die Opfer des Datendiebstahls über den gesamten Globus verteilt, weisen jedoch einen klaren regionalen Schwerpunkt auf. Ungefähr 70 Prozent aller kompromittierten Kreditkarten stammen von Finanzinstituten und Bürgern aus den Vereinigten Staaten. Die verbleibenden Plätze innerhalb der fünf am stärksten betroffenen Nationen werden von Kanada, dem Vereinigten Königreich, Frankreich und Malaysia eingenommen.

Darüber hinaus dokumentiert der Sicherheitsbericht eine auffällig hohe Präsenz von führenden asiatischen Finanz- und Handelszentren wie Hongkong, Singapur und Thailand innerhalb der Top-15-Länder. Diese breite internationale Streuung über kaufkraftstarke und primär englischsprachige Märkte belegt nach Ansicht der Ermittler, dass die Daten nicht aus dem Hack eines einzelnen regionalen Unternehmens stammen. Es handelt sich vielmehr um das Aggregat zahlreicher, voneinander unabhängiger Spionage- und Datendiebstahlskampagnen.

Missbrauchsrisiken für den Online-Handel

Die Veröffentlichung von Millionen verifizierten Kreditkartendaten birgt akute Gefahren für das weltwirtschaftliche Ökosystem des Online-Handels. Die Daten befeuern unmittelbar den sogenannten Card-Not-Present-Betrug (CNP-Fraud). Da digitale Kriminelle im Besitz aller notwendigen Validierungsfaktoren (PAN, Ablaufdatum, CVV2 und Rechnungsadresse) sind, können sie unbefugte Online-Käufe tätigen, ohne jemals im physischen Besitz der eigentlichen Plastikkarte gewesen zu sein.

Die Risiken dieses spezifischen Lecks gehen laut SOCRadar jedoch weit über den klassischen Kreditkartenbetrug hinaus. Da die Einträge auch E-Mail-Adressen, Telefonnummern und IP-Adressen umfassen, erhalten Betrüger die perfekte Grundlage für Identitätsdiebstahl und gezieltes Social Engineering. Böswillige Akteure können die Profile nutzen, um im Namen der Opfer betrügerische Bankkonten zu eröffnen, Kredite zu beantragen oder täuschend echte Spear-Phishing-Kampagnen zu starten. Da den Angreifern die exakten Kontaktdaten und der geografische Standort des Opfers vorliegen, können gefälschte Benachrichtigungen von Banken oder Behörden mit extrem hoher Glaubwürdigkeit erstellt werden.

Kreditkarten bereits 2024 geleakt

Die Plattform B1ack’s Stash ist in der Darknet-Szene kein unbekannter Akteur. Der illegale Marktplatz operiert nachweislich seit mindestens 2023 im verborgenen Teil des Internets und hat sich zu einer der aktivsten und frequentiertesten Anlaufstellen für den Handel mit gestohlenen Finanzdaten entwickelt. Die Verteilung kostenloser Datensätze wird von den Betreibern der Plattform nicht zum ersten Mal als strategisches Instrument genutzt.

Bereits im April 2024 verschenkte der Marktplatz im Rahmen einer Marketing-Aktion 1 Million Kreditkartendaten an jeden Nutzer, der sich neu im Forum registrierte. Im Februar 2025 folgte eine ähnliche Kampagne, bei der über 4 Millionen gestohlene Kreditkarten kostenlos gestreut wurden. Während diese vergangenen Vorfälle primär der Nutzerakquise und der Verdrängung von Konkurrenzplattformen dienten, demonstriert das aktuelle Datenleck vom Mai 2026 vor allem die kompromisslose Durchsetzung der internen Plattform-Monopole gegen abtrünnige Verkäufer.