Voice-Scamming-Site „iSpoof“ beschlagnahmt, Hunderte bei massivem Vorgehen festgenommen

Heutzutage haben die meisten von uns Telefone, die die anrufende Nummer anzeigen, bevor wir antworten.

Dieses „Feature“ geht eigentlich bis in die 1960er Jahre zurück und ist im nordamerikanischen Englisch als bekannt Anrufer-ID, obwohl es den Anrufer nicht wirklich identifiziert, sondern nur die Nummer des Anrufers.

Anderswo in der englischsprachigen Welt werden Sie den Namen sehen CLI stattdessen verwendet, kurz für Rufnummernübermittlung, was auf den ersten Blick ein besserer, präziserer Begriff zu sein scheint.

Aber hier ist die Sache: ob Sie es nennen Anrufer-ID or CLI, Es ist nicht mehr nützlich, die tatsächliche Telefonnummer des Anrufers zu identifizieren, als die From: Kopfzeile in einer E-Mail dient der Identifizierung des Absenders einer E-Mail.

Zeigen Sie, was Ihnen gefällt

Grob gesagt kann ein Betrüger, der weiß, was er tut, Ihr Telefon dazu bringen, fast jede beliebige Nummer als Quelle seiner Anrufe anzuzeigen.

Lassen Sie uns überlegen, was das bedeutet.

Wenn Sie einen eingehenden Anruf von einer Nummer erhalten, die Sie nicht kennen, stammt er höchstwahrscheinlich nicht von einem Telefon, das jemandem gehört, den Sie gut genug kennen, um ihn in Ihrer Kontaktliste zu haben.

Daher könnten Sie als Cybersicherheitsmaßnahme, die darauf abzielt, Anrufe von Personen zu vermeiden, von denen Sie nichts hören möchten oder die Betrüger sein könnten, den Fachjargon verwenden niedrige Falsch-Positiv-Rate um die Wirksamkeit von CLI zu beschreiben.

Ein falsches Positiv in diesem Zusammenhang stellt einen Anruf von jemandem dar, den Sie kennen, der von einer Nummer anruft, der Sie sicher vertrauen können, der falsch erkannt und fälschlicherweise blockiert wird, weil es sich um eine Nummer handelt, die Sie nicht kennen.

Diese Art von Fehler ist unwahrscheinlich, da weder Freunde noch Betrüger vorgeben, jemand zu sein, den Sie nicht kennen.

Aber diese Nützlichkeit funktioniert nur in eine Richtung.

Als Cybersicherheitsmaßnahme, mit der Sie Anrufer identifizieren können, denen Sie vertrauen, hat CLI ein Extrem Falsch-Negativ-Problem, was bedeutet, dass wenn ein Anruf von erscheint Dad, oder Auntie Gladys, oder vielleicht noch wichtiger, von Your Bank...

… dann besteht ein erhebliches Risiko, dass es sich um einen absichtlich manipulierten Betrugsanruf handelt, um an Ihrem vorbeizukommen „Kenne ich den Anrufer?“ Test.

Kein Beweis für irgendetwas

Einfach ausgedrückt: Die Nummern, die auf Ihrem Telefon angezeigt werden, bevor Sie einen Anruf entgegennehmen, deuten immer nur darauf hin, wer anruft und anrufen sollte niemals als „Beweis“ für die Identität des Anrufers verwendet werden.

Tatsächlich gab es bis Anfang dieser Woche ein Online-Crimeware-as-a-Service-System, das über die unmissverständlich benannte Website verfügbar war ispoof.cc, wo Möchtegern-Vishing-Kriminelle (Voice-Phishing) Telefondienste über das Internet kaufen könnten, einschließlich Nummern-Spoofing.

Mit anderen Worten: Betrüger, die selbst nicht technisch genug waren, um ihre eigenen betrügerischen Internet-Telefonie-Server einzurichten, aber über die Art von Social-Engineering-Fähigkeiten verfügten, die ihnen halfen, Opfer zu betören, zu täuschen oder einzuschüchtern, für einen bescheidenen Anfangsaufwand das Telefon…

…könnte dennoch auf Ihrem Telefon als Finanzamt, als Ihre Bank, als Ihre Versicherung, als Ihr ISP oder sogar als die Telefongesellschaft erscheinen, von der Sie Ihren eigenen Service gekauft haben.

Wir haben oben „bis Anfang dieser Woche“ geschrieben, weil die iSpoof-Site jetzt beschlagnahmt wurde, dank einer globalen Anti-Cybercrime-Operation, an der Strafverfolgungsteams in mindestens zehn verschiedenen Ländern (Australien, Kanada, Frankreich, Deutschland, Irland, Litauen, Niederlande) beteiligt waren , Ukraine, Großbritannien und USA):

Megabust durchgeführt

Eine Clearweb-Domain zu beschlagnahmen und ihre Angebote offline zu nehmen, reicht oft nicht aus, nicht zuletzt, weil die Kriminellen, wenn sie auf freiem Fuß bleiben, oft immer noch in der Lage sein werden, im Dark Web zu operieren, wo Takedowns aufgrund der viel schwieriger sind Schwierigkeiten, herauszufinden, wo sich die Server tatsächlich befinden.

Oder die Gauner tauchen einfach wieder mit einer neuen Domain auf, vielleicht unter einem neuen „Markennamen“, die von einem noch weniger skrupellosen Hosting-Unternehmen betreut wird.

Doch in diesem Fall ging der Domainbeschlagnahme kurzzeitig eine Vielzahl von Festnahmen voraus – 142, in der Tat, laut Europol:

Justiz- und Strafverfolgungsbehörden in Europa, Australien, den Vereinigten Staaten, der Ukraine und Kanada haben eine Website abgeschaltet, die es Betrügern ermöglichte, sich als vertrauenswürdige Unternehmen oder Kontakte auszugeben, um auf vertrauliche Informationen von Opfern zuzugreifen, eine Art von Cyberkriminalität, die als „Spoofing“ bekannt ist. Es wird angenommen, dass die Website einen geschätzten weltweiten Schaden von über 100 Millionen Pfund (115 Millionen Euro) verursacht hat.

In einer vom Vereinigten Königreich geleiteten und von Europol und Eurojust unterstützten koordinierten Aktion wurden 142 Verdächtige festgenommen, darunter der Hauptadministrator der Website.

Mehr als 100 dieser Verhaftungen erfolgten allein in Großbritannien, so die Londoner Metropolitan Police, mit bis zu 200,000 britische Opfer werden abgezockt für viele Millionen Pfund:

iSpoof ermöglichte es Benutzern, die den Dienst in Bitcoin bezahlten, ihre Telefonnummer zu verschleiern, sodass es so aussah, als würden sie von einer vertrauenswürdigen Quelle anrufen. Dieser Vorgang wird als „Spoofing“ bezeichnet.

Kriminelle versuchen, Menschen dazu zu bringen, Geld zu übergeben oder vertrauliche Informationen wie Einmalpasswörter für Bankkonten preiszugeben.

Der durchschnittliche Verlust von denen, die berichteten, dass sie angegriffen wurden, wird auf 10,000 £ geschätzt.

In den 12 Monaten bis August 2022 wurden weltweit rund 10 Millionen betrügerische Anrufe über iSpoof getätigt, davon rund 3.5 Millionen in Großbritannien.

Davon dauerten 350,000 Anrufe länger als eine Minute und gingen an 200,000 Personen.

Laut BBC ist die angeblicher Rädelsführer war ein 34-jähriger namens Teejai Fletcher, der am 2022 in Southwark, London, in Untersuchungshaft genommen wurde, bis er vor Gericht erscheinen musste.

Was ist zu tun?

• TIPP 1. Betrachten Sie die Anrufer-ID nur als Hinweis.

Das Wichtigste, an das Sie sich erinnern sollten (und das Sie allen Freunden und Familienmitgliedern erklären sollten, von denen Sie glauben, dass sie für diese Art von Betrug anfällig sind), ist Folgendes: DIE ANRUFERNUMMER, DIE AUF IHREM TELEFON ANGEZEIGT WIRD, BEVOR SIE ANTWORTEN, BEWEIST NICHTS.

Diese Anrufer-ID-Nummern sind nichts anderes als ein vager Hinweis auf die Person oder das Unternehmen, die Sie anscheinend anruft.

Wenn Ihr Telefon klingelt und den Anruf mit den Worten benennt Your Bank's Name Here, denken Sie daran, dass die auftauchenden Wörter aus Ihrer eigenen Kontaktliste stammen, was nichts anderes bedeutet, als dass die vom Anrufer angegebene Nummer mit einem Eintrag übereinstimmt, den Sie selbst zu Ihren Kontakten hinzugefügt haben.

Anders ausgedrückt, die mit einem eingehenden Anruf verknüpfte Nummer bietet nicht mehr „Identitätsnachweis“ als der Text in der Subject: Zeile einer E-Mail, die alles enthält, was der Absender eingegeben hat.

---

• TIPP 2. Leiten Sie Amtsgespräche immer selbst ein und verwenden Sie dabei eine Nummer Ihres Vertrauens.

Wenn Sie eine Organisation wie Ihre Bank wirklich telefonisch kontaktieren müssen, vergewissern Sie sich, dass Sie den Anruf initiieren, und verwenden Sie eine Nummer, die Sie nicht selbst herausgefunden haben.

Sehen Sie sich zum Beispiel einen aktuellen offiziellen Kontoauszug an, überprüfen Sie die Rückseite Ihrer Bankkarte oder besuchen Sie sogar eine Filiale und fragen Sie einen Mitarbeiter persönlich nach der offiziellen Nummer, die Sie in zukünftigen Notfällen anrufen sollten.

---

• TIPP 3. Lassen Sie sich nicht vom Zufall überzeugen, dass ein Anruf echt ist.

Verwenden Sie niemals Zufall als „Beweis“ dafür, dass der Anruf echt sein muss, etwa indem Sie davon ausgehen, dass der Anruf „sicherlich“ von der Bank stammt, nur weil Sie heute Morgen ärgerliche Probleme mit Internet-Banking hatten oder einen neuen Anbieter für den ersten bezahlt haben Zeit gerade heute Nachmittag.

Denken Sie daran, dass die iSpoof-Betrüger in einem Zeitraum von 3,500,000 Monaten mindestens 6.5 Anrufe allein in Großbritannien (und 12 Millionen Anrufe in anderen Ländern) getätigt haben, wobei Betrüger im Durchschnitt alle drei Sekunden zu den wahrscheinlichsten Tageszeiten einen Anruf tätigen, also Zufälle sind nicht nur möglich, sondern so gut wie unvermeidlich.

Diese Betrüger zielen nicht darauf ab, 3,500,000 Menschen um jeweils 10 £ zu betrügen … tatsächlich ist es viel weniger Arbeit für sie, 10,000 £ um jeweils XNUMX £ aus ein paar tausend Menschen zu betrügen, wenn sie Glück haben und mit diesen wenigen tausend Menschen Kontakt aufnehmen genau in dem Moment, in dem sie am verletzlichsten sind.

---

• TIPP 4. Seien Sie für gefährdete Freunde und Familie da.

Stellen Sie sicher, dass Freunde und Familienmitglieder, von denen Sie glauben, dass sie von Betrügern überredet (oder eingeschüchtert, verwirrt und eingeschüchtert) werden könnten, unabhängig davon, wie sie zuerst kontaktiert werden, wissen, dass sie sich an Sie wenden können und sollten, bevor sie zustimmen zu allem über das Telefon.

Und wenn jemand sie auffordert, etwas zu tun, was eindeutig ein Eindringen in ihren persönlichen digitalen Raum darstellt, wie z.

… stellen Sie sicher, dass sie wissen, dass es in Ordnung ist, einfach aufzulegen, ohne ein einziges Wort weiter zu sagen, und sich mit Ihnen in Verbindung setzt, um zuerst die Fakten zu überprüfen.

---

Oh, noch etwas: Die Londoner Cops haben gesagt, dass sie im Laufe dieser Ermittlungen eine Datenbankdatei (wir vermuten, dass sie von einer Art Anrufprotokollierungssystem stammt) mit 70,000,000 Zeilen erworben haben, und dass sie eine ganze Menge identifiziert haben 59,000 Verdächtige, von denen mehr als 100 bereits festgenommen wurden.

Offensichtlich sind diese Verdächtigen nicht so anonym, wie sie vielleicht dachten, also konzentrieren sich die Bullen zuerst darauf „Diejenigen, die mindestens 100 £ Bitcoin ausgegeben haben, um die Website zu nutzen.“

Betrüger weiter unten in der Hackordnung werden vielleicht noch nicht an die Tür geklopft, aber es könnte nur eine Frage der Zeit sein …

---

ERFAHREN SIE MEHR ÜBER DIE DIVERSIFIZIERUNG VON CYBERKRIMINALITÄT UND WIE SIE WIRKSAM ZURÜCKKÄMPFEN KÖNNEN, IN UNSEREM BEDROHUNGSBERICHT-PODCAST

Vollständiges Transkript für diejenigen, die lieber lesen als zuhören.

Mit Paul Ducklin und John Shier.

Intro- und Outro-Musik von Edith Mudge.

Ihr könnt uns auf hören Soundcloud, Apple Podcasts, Google Podcasts, Spotify, Stitcher und überall, wo gute Podcasts zu finden sind. Oder lass es einfach fallen URL unseres RSS-Feeds in Ihren Lieblings-Podcatcher.

---