Cyberkriminelle nutzen Telegram-Kanäle, um verifizierte Bank- und Fintech-Mule-Konten zu verkaufen

Markt und Strategie

Diese Kanäle funktionieren nach einer Struktur, die legitime E-Commerce-Unternehmen nachahmt, einschließlich Rückgabepolitiken, falls ein gekauftes Konto eingefroren oder gesperrt wird.

KELA ermittelte fast 250.000 Telegram-Nachrichten im Zusammenhang mit brasilianischen „Contas Laranja" (auf Deutsch: „Orange-Konten"), also Bankkonten, die vermietet oder betrügerisch erstellt wurden, um Gelder über Brazils PIX-System für Sofortüberweisungen zu bewegen.

In Argentinien wurden über 100.000 Telegram-Nachrichten gefunden, die den Verkauf oder die Vermietung von Konten betreffen, die mit den Identifikatoren CBU und CVU verknüpft sind, die von lokalen Banken und digitalen Wallets verwendet werden.

Technik und Auswirkungen

Auch kolumbianische Fintech-Plattformen wie Nequi und Daviplata wurden in unterirdischen Diskussionen wegen ihrer wahrgenommenen einfachen Registrierungsfähigkeit markiert. Manche Verkäufer bieten vollständige Auszahlungsstrukturen an, bei denen ein Käufer verschmutzte Gelder überweist und im Gegenzug sauberes Geld erhält.

Ein Akteur auf einem Telegram-Kanal russischer Herkunft namens GrossInfo wurde dabei beobachtet, wie er bearbeitete Identitätsdokumente verkauft, um die „Know Your Customer"-Prüfungen zu umgehen.

Diese Verkäufer bieten zudem PSD-Dokumentvorlagen an, die darauf ausgelegt sind, automatisierte Identitätsüberprüfungen zu bestehen; ein entsprechender Beitrag erhielt bereits mehr als 400 Antworten von interessierten Käufern. (Abbildung 1: Ein Beitrag, der PSD-Vorlagen zum Umgehen von KYC-Prüfungen auf einem Dark-Web-Forum anbietet) KI erschwert die Erkennung dieser Operationen Künstliche Intelligenz hat die Erstellung und Verwaltung von Mule-Konten grundlegend verändert.

Technik und Auswirkungen

Bedrohungsakteure nutzen große Sprachmodelle, Tools zur Erstellung von Deepfake-Videos und Plattformen wie RunwayML, um realistische Videos mit künstlich erzeugten Gesichtsbewegungen zu generieren, die Fern-Verifikationssysteme von Banken und FinTech-Anwendungen täuschen.

Ein auf dem CrackedTo-Forum geteilter Leitfaden instruierte Nutzer darin, ChatGPT mit Formulierungen wie „generiere natürliche Gesichtsbewegungen für die Verifikation" zu beauftragen, um Lebendigkeitstests bei Bankanwendungen zu täuschen.

Neben der Kontoeröffnung automatisiert KI das Kontoerwärmen, bei dem Bots risikolose Transaktionen wie die Zahlung von Versorgungsrechnungen durchführen, um ein Konto vor dem Einzug illegaler Gelder als legitim erscheinen zu lassen.

Einordnung fuer Autofahrer

Prädiktive Smurfing-Algorithmen passen Transaktionsbeträge und -zeitpunkte dynamisch an, um unter die Erkennungsschwellen der Geldwäschebekämpfung zu bleiben. Sprachklonungswerkzeuge, die auf Retrieval-basierten Voice-Conversion-Systemen basieren, können zudem die Stimme eines Opfers nachbilden, um die Rückruf-Verifizierung bei Finanzinstituten zu umgehen.

Um sich gegen diese Bedrohungen zu schützen, empfiehlt KELA Organisationen, Foren im Dark Web und Telegram-Kanäle aktiv auf neu auftretende MaaS-Aktivitäten zu überwachen.

Finanzinstitute sollten ihre Identitätsverifikationssysteme modernisieren, um Deepfake-Injection-Angriffe zu erkennen, bei denen synthetisches Video direkt in die Eingabepipeline einer Bank-App eingespeist wird, anstatt vor eine physische Kamera zu werden.

Technik und Auswirkungen

Sicherheits-Teams sollten zudem Verhaltensanalysen einsetzen, die in der Lage sind, KI-gestützte Account-Warming-Verfahren und anpassungsfähiges Smurfing zu erkennen, die herkömmliche AML-Systeme nicht erfassen können.

Indikatoren für Kompromittierungen (IoC):.onion-URL: Indikator: exiliow4ctlzrvaglkgwqnpxdlvrxmdgvuy2hkbzqoziebfim6q5hwid.onion; Beschreibung: Das brasilianische Dark-Web-Forum „Exillio404" diente zum Austausch von operativen Anleitungen für Money-Mule-Bestrebungen, Kontovermietungen und Geldwäsche-Techniken.

Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern. Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM auf. Tushar ist ein leitender Cybersecurity- und Breach-Reporter.

Sicherheitslage und Risiko

Er spezialisiert sich auf die Berichterstattung über Cybersecurity-Nachrichten, Trends und aufkommende Bedrohungen, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein.

Russischer Hacker nutzte ein jailgebrochenes Gemini, um Administrationszugangsdaten zu stehlen und Krypto-Wallets auszuleeren. Das LMS von KnowledgeDeliver wurde durch einen Zero-Day-Exploit kompromittiert, um den BLUEBEAM-Webshell einzusetzen. WhatsApp-Chatverläufe werden auf macOS und iOS unverschlüsselt gespeichert.