Das Thema Phishing ist spätestens seit den jüngsten Attacken auf zehntausende E-Mail-Kunden wieder in aller Munde. Die Sprengung eines Rings von mutmaßlichen Internet-Betrügern liefert nun tiefe Einblicke in die Arbeitsweise der Datendiebe.
Ermittler in den USA und Ägypten verhafteten am Mittwoch in einer länderübergreifenden Razzia Dutzende Personen, die sich gemeinsam mittels gefälschter Nutzer-Identitäten Zugang zu Bankkonten verschafft haben sollen.
Bei der Operation "Phish Phry" (ein Wortspiel mit "fish fry", "Fische braten") nahm die US-Bundespolizei FBI nach eigenen Angaben 33 Verdächtige fest, in Ägypten wurden zeitgleich 47 Menschen festgenommen. Gegen weitere 20 US-Bürger liegt Haftbefehl vor. Das FBI bezeichnete die zweijährigen Ermittlungen als bislang größten Einsatz gegen Internet-Kriminalität in der Geschichte der USA.
Die Beteiligten hatten eine ausgeklügelte Arbeitsteilung entwickelt und sich auf Kunden der US-Großbanken Bank of America und Wells Fargo spezialisiert. Die ägyptischen Verdächtigen, so das FBI, hätten dabei Massenmails versendet, die auf den ersten Blick wie authentische Nachrichten der Banken wirkten.
"Sehr gut ausgeführt, gut organisiert"
Ein Klick auf die eingebauten Links leitete die Kunden auf gefälschte Webseiten weiter, die den Originalseiten detailgetreu glichen. Dort gaben die Opfer Bankdaten, Passwörter sowie ihre Sozialversicherungs- und Führerscheinnummer ein. Diese nutzten dann die US-Mitglieder der Gruppe, um Geld von den Konten abzuheben. Teile der Beute wurden nach Ägypten transferiert.
Das FBI arbeitete bereits seit 2007 an dem Fall, als die Banken die Phishing-Attacken anzeigten. "Es war sehr gut ausgeführt, gut organisiert und jeder hat sein Geld bekommen", zeigte sich Kethi Bolcar, Chef des FBI-Büros in Los Angeles, auf einer Pressekonferenz von der Professionalität der Datendiebe erstaunt. Der vermeintliche Kopf des Netzwerks ist erst 25 Jahre alt.
Der Schaden für die Opfer beläuft sich auf insgesamt rund zwei Millionen US-Dollar. Den US-Verdächtigen drohen nun wegen Bankbetrugs Haftstrafen von bis zu 20 Jahren.