Cyberkriminelle missbrauchen chinesischsprachige Garantieseiten für den Handel mit gestohlenen Zugangsdaten

Technik und Auswirkungen

Selbst nach dem Telegram-Abzug im Mai 2025 und den Sanktionen des US-Finanzministeriums erholte sich das Ökosystem schnell. Innerhalb weniger Monate entstanden mehr als dreißig Nachfolgemarktplätze. Der Marktplatz Tudou Guarantee verzeichnete dabei einen Anstieg der täglichen Einflüsse um nahezu das Siebenzigfache.

Die Betreiber bauen nun proprietäre Messaging-Plattformen auf, um Telegram vollständig zu verlassen. Dies ist ein klares Zeichen dafür, dass diese Untergrundwirtschaft sich schneller anpasst als die Durchsetzungsbefugnisse sie eindämmen können.

Der Kerngeschäftsbetrieb dieser Plattformen besteht im aktiven Handel mit gestohlenen und betrügerischen digitalen Vermögenswerten. Auf den Telegram-basierten Garantiemarktplätzen werden unter anderem gestohlene Unternehmenszugangsdaten, gefälschte Identitätsdokumente, SIM-Karten, NFC-Relay-Betrugskits und Werkzeuge zur Unternehmensimitation angeboten.

Technik und Auswirkungen

Diese Produkte werden über bot-automatisierte Systeme bewegt, wobei die Escrow-Haltung in USDT erfolgt, bis der Käufer den Erhalt bestätigt. Besonders gefährlich an diesem Modell ist, dass es direkt Bedrohungen innerhalb westlicher Organisationen speist.

Gestohlene Mittel aus Pig-Butchering-Betrügereien gelangen über von den Opfern kontrollierte Wallets, werden in USDT umgewandelt und fließen über Geldwäschedienste von Anbietern in die Gehaltsabrechnung von Betrugskomplexen sowie in die nächste Welle von Angriffswerkzeugen.

Allein im Jahr 2024 erfasste das FBI in den Vereinigten Staaten Verluste von 5,8 Milliarden US-Dollar durch gemeldete Betrugsvorfälle im Bereich Kryptowährungsinvestitionen – die mit Abstand größte Kategorie.

Technik und Auswirkungen

Das Garantiemodell hat US-Schatzamtliche Benennungen, koordinierte Telegram-Sperren und milliardenschwere Sanktionen überdauert und setzt sich weiterhin aus. Sicherheitsteams müssen diese Marktplätze als direkte operative Bedrohung betrachten und nicht als entfernte regionale Randerscheinung.

Flare empfiehlt die Überwachung chinesischsprachiger Telegram-Kanäle auf gestohlene Unternehmenszugangsdaten, personenbezogene Informationen von Mitarbeitern (PII) und Assets zur Markenimitation, die täglich aktiv gehandelt werden.

Die meisten westlichen Bedrohungsintelligenzprogramme erfassen diese Angriffsfläche nicht, was für Organisationen eine erhebliche und ausnutzbare Lücke darstellt. Organisationen sollten auch Investitionsbetrug und „Pig-Butchering"-Betrugsfälle als unternehmensweite Risiken behandeln.

Markt und Strategie

Mitarbeiter, die Opfer von Liebes-Investment-Schemen werden, können dazu gezwungen werden, Unternehmenszugänge bereitzustellen oder Geschäftsgelder zu verlegen; sie verwandeln sich damit effektiv in Insider-Bedrohungsvektoren.

Sicherheitsteams müssen die Infrastrukturmigration in Echtzeit verfolgen, da Betreiber kontinuierlich ihr Erscheinungsbild ändern und private Messaging-Plattformen vollständig außerhalb von Telegram aufbauen. ### SvyTech-Einordnung Der Artikel verdeutlicht, dass die Bekämpfung von Cyberkriminalität durch die Verfolgung spezifischer Plattformen wie Telegram-Marktplätze nicht ausreicht, da die Täter auf proprietäre Alternativen ausweichen.

Die massive Geldströme über USDT und die Integration von Opfermitteln in komplexe Geldwäschesysteme zeigen, dass traditionelle Finanzkontrollen hier an ihre Grenzen stoßen.

Technik und Auswirkungen

Zudem wird deutlich, dass interne Sicherheitsmaßnahmen allein nicht genügen, wenn Mitarbeiter durch externe Betrugsszenarien zu unbeabsichtigten Insider-Bedrohungen werden. ### Was Leser daraus mitnehmen Unternehmen sollten ihre Bedrohungsintelligenz-Lösungen um die Überwachung chinesischsprachiger Kanäle erweitern, um gestohlene Zugangsdaten und Identitätsdokumente frühzeitig zu erkennen.

Es ist ratsam, Investitionsbetrug und Pig-Butchering-Szenarien nicht nur als IT-Risiken, sondern als unternehmensweite Gefahren zu behandeln, da diese oft zu einem Verlust interner Zugänge führen. Zudem müssen Sicherheitsabteilungen die Migration der Täter auf eigene Messaging-Plattformen im Auge behalten und entsprechende Erkennungsmechanismen entwickeln.