Cyberkriminelle nutzen 2026-Fußballweltmeisterschaft für Phishing, Fake-Shops und Ticketbetrug

Markt und Strategie

Gestohlene Zahlungsdaten werden von Cardern genutzt, um echte Tickets zu erwerben, die dann zum Profit weiterverkauft werden. Solche Betrugsformen ermglichen es Kriminellen, Geld schnell zu bewegen und sich hinter der Fassade einer normalen Transaktion zu verstecken.

Cyberkriminalität nutzt die FIFA-Weltmeisterschaft 2026 aus Im Rahmen einer Kampagne, die im April und Mai 2026 aktiv war, identifizierte das Payment Fraud Intelligence Team von Recorded Future ein Netzwerk aus 33 Betrugsdomainen mit Weltmeisterschaftsthemen, die mit etwa 2.500 Online-Werbungen verknüpft sind.

Diese gefälschten Online-Shops wurden so gestaltet, dass sie offizielle FIFA-Merchandise-Verkaufsstellen nachahmen und Opfer über Werbung auf Plattformen wie Meta anlocken.

Technik und Auswirkungen

Sobald ein Opfer einen Kauf tätigte, wurde die Bestellung nicht geliefert, doch die Daten der Zahlungskarte sowie die persönlichen Informationen des Opfers wurden vollständig kompromittiert. Mehrere dieser Betrugsdomainen nutzten mehrere Händlerkonten, um Zahlungen auch dann weiterlaufen zu lassen, wenn einzelne Domainen aus dem Verkehr gezogen wurden.

Dies ermöglicht es den Kriminellen, ihre Zahlungsinfrastruktur im Hintergrund aufrechtzuerhalten, selbst wenn ein einzelner Online-Shop geschlossen wird. Der Grad an Professionalität macht diese Betrugsmaschen schwerer zu stoppen als eine einfache, einmalige gefälschte Webseite.

In einer zweiten Kampagne haben Angreifer legitime Websites kompromittiert und manipuliert, wie diese Seiten in Suchergebnissen angezeigt werden. Opfer, die nach offiziellen FIFA-Merchandise-Artikeln suchten, landeten auf einer Seite, die vertrauenswürdig wirkte, wurden jedoch stillschweigend auf eine betrügerische Domain weitergeleitet.

Sicherheitslage und Risiko

Die betrügerischen Seiten mussten sich nicht einmal in den Suchergebnissen befinden, da der Datenverkehr bereits über indizierte Seiten lief. Phishing, Aktivitäten im Dark Web und gestohlene Zugangsdaten Seit dem 1.

April 2026 haben Forscher von Insikt Group mehr als 1.100 verdächtige Domains entdeckt, die die Begriffe „World" und „Cup" enthalten, über 600 Typosquatting-Domains, die fifa.com nachahmen, sowie 260 registrierte Domains, die FIFA-Marken mit Stadtnamen kombinieren.

Chinesischsprachige Angreifer sollen die offizielle FIFA-Website auf rund 300 Domains geklont haben, um vor dem Turnier Benutzerzugangsdaten zu erbeuten. Auf dem Dark Web werden bereits gestohlene FIFA-bezogene Zugangsdaten, die einzelnen Konten zugeordnet sind, auf Marktplätzen wie Russian Market verkauft.

Threat-Akteure wurden zudem dabei erwischt,

Threat-Akteure wurden zudem dabei erwischt, dass sie auf kriminellen Foren Dienstleistungen zum Auszahlungsprozess (Cash-Out) bewirbten und dabei große Ticketplattformen wie Ticketmaster, StubHub und SeatGeek ins Visier nahmen. Diese Dienste ermöglichen es Kriminellen, gestohlene Zahlungsinformationen oder Kontozugänge schnell in echtes Geld umzuwandeln.

Sicherheitsexperten empfehlen Fans, auf Links in unerbetenen E-Mails oder SMS-Nachrichten über Weltmeisterschaftstickets nicht zu klicken und jede Verkaufsstelle oder Ticketquelle stets über offizielle FIFA-Kanäle zu überprüfen.

Organisationen, die mit dem Turnier verbunden sind, sollten auf Markenmissbrauch, neu registrierte täuschend ähnliche Domains und kompromittierte Zugangsdaten achten, die auf Foren im Darknet auftauchen. Proaktive Überwachung von Zugangsdaten und Domain-Alarme gehören zu den wirksamsten derzeit verfügbaren Schutzmaßnahmen.

Technik und Auswirkungen

Indikatoren für Kompromittierungen (IoCs): Domain: onlinefifavip-eu[.]shop; Beschreibung: Domäne für einen Betrugsschema zum Kauf von Weltmeisterschaftstickets, die über die Meta Ads Library beworben wurde. Bereich: Indikator: superbclicks[.]com; Beschreibung: Kompromittierte legitime Website, die Opfer in Scam-Infrastrukturen umleitet.

Bereich: Indikator: jpopfreehhh[.]click; Beschreibung: Scam-Domain für Kaufbetrug, die von superbclicks[.]com umgeleitete Opfer empfängt. Bereich: Indikator: fifafanstorehub[.]com; Beschreibung: Falscher Store mit FIFA-Markierung, der in einer Betrugsangriffsreihe für mobile Wallets eingesetzt wird und über Meta-Werbung beworben wird.

Hinweis: IP-Adressen und Domains sind absichtlich „defanged" (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Verlinkung zu verhindern. Die Defanging-Maßnahme ist nur in kontrollierten Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrem SIEM durchzuführen.

Sicherheitslage und Risiko

Tushar ist ein leitender Berichterstatter für Cybersicherheit und Datenschutzverletzungen. Er spezialisiert sich auf Cybersicherheitsnachrichten, Trends und neu auftretende Bedrohungen, Datenlecks sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein.

Hackers können Claude Code MCP-Verkehr übernehmen, um OAuth-Token zu stehlen. Das neue EDRChoker-Tool nutzt politikbasierte Quality of Service, um EDR-Prozesse zu blockieren. Instagram behebt einen Fehler beim Zurücksetzen von Passwörtern, der Benutzer-E-Mail-Adressen und Telefonnummern preisgibt.