Befindet sich deine Zahlungskarte in der digitalen Wallet eines Kriminellen?
-
Diskussionen über das Hinzufügen gestohlener Karten zu mobilen Wallets (Geldbörsen) haben sich im Laufe des Jahres fast verdreifacht.
-
Der Medianpreis einer gestohlenen Karte liegt bei 10 US-Dollar, aber „Wallet-Ready“-Karten sind deutlich teurer.
-
Wenn man Kreditkartendaten mit persönlichen Informationen kombiniert, kann sich der Preis mehr als verdoppeln.
Über die Studie
Gestohlene Zahlungskarten sind immer noch das am meisten gehandelte Gut im Dark Web – aber welche Preise sind Kriminelle wirklich bereit zu zahlen? Welche Karten werden als wertlos erachtet und in Massen verkauft, und welche erzielen Premiumpreise?
Um diese Fragen zu beantworten, untersuchten die Experten von NordVPN und NordLayer Intelligence by NordStellar beliebte Untergrundmarktplätze und analysierten jahrelange kriminelle Diskussionen in Hacker-Foren und Telegram-Kanälen. Unsere Studie zeigt auf, wie sich der Handel mit gestohlenen Karten verändert und wohin er sich entwickelt.
Trends beim Kreditkartenbetrug im Wandel
Die neueste Dark-Web-Marktplatzanalyse der Experten von NordVPN und NordLayer Intelligence zeigt, dass Kriminelle ihre Gewohnheiten ändern. Die Diskussionen in Dark-Web-Foren und auf Telegram, in denen es darum geht, gestohlene Karten in mobile Wallets zu laden, haben sich im Vergleich zum letzten Jahr fast verdreifacht.
Diese Diskussionen sind nicht nur leere Worte. Die Angebote von „Wallet-Ready"-Karten und zugehörigen Dienstleistungen, wie der Diebstahl von Einmalcodes oder der Verkauf von Telefon-„Tap"-Relay-Tools, nehmen zu. Im Gegensatz dazu verlieren ältere Zahlungskarten den Großteil ihres Wertes, weil sie von Bank-Betrugssystemen erkannt werden, während klassisches Magnetstreifen-Cloning gegen die meisten Chip-Leser sehr ineffektiv ist.
Neuer Schwerpunkt: Die Nutzung gestohlener Karten in mobilen Wallets
Durch das Laden einer Karte in Apple Pay oder Google Pay wird ein Teil der Sicherheitslast von der Bank auf das Mobilgerät des Nutzers übertragen. Kriminelle können das in nur wenigen Schritten ausnutzen:
01
Der Kriminelle versucht, eine im Dark Web gekaufte Karte in seine Apple Pay- oder Google Pay-Wallet zu laden.
02
Die Bank versucht, die Identität des Karteninhabers zu überprüfen, in der Regel durch die Ausgabe eines Einmalcodes.
03
Der Kriminelle kompromittiert den Verifizierungsprozess – beispielsweise durch vorher installierte Malware oder durch Phishing-Tricks.
04
Sobald die Karte geladen wurde, handelt der Kriminelle schnell, um ihren Wert durch kontaktloses Einkaufen, Geschenkkartenkäufe oder Geldabhebungen zu maximieren.
Laut kriminellen Diskussionen können 60 bis 70 % der öffentlich verfügbaren Karten innerhalb von 15 bis 90 Minuten nach ihrer ersten Verwendung softwaregestützt abgelehnt oder blockiert werden. Aber nach den eigenen Worten der Kriminellen ist es „[d]er einfachste Weg, im Jahr 2026 an Geld zu kommen. Keine Sorgen wegen 3DS – einmal zu Google oder Apple Pay hinzugefügt, kann man den gesamten Betrag ausgeben.“
Worauf haben es die Hacker abgesehen?
Wenn man die Daten aus Dark-Web-Marktplätzen analysiert, wird klar, dass Kriminelle zunehmend Komfort der reinen Quantität vorziehen. Die teuersten Angebote beinhalten nicht unbedingt die meisten Karten oder die höchsten Kontostände – stattdessen werben sie mit Karten, die „einfach funktionieren“.
Verkäufer im Dark Web stufen ihr Angebot nach den erwarteten Aktivierungserfolgsraten ein. Dabei werden Begriffe wie „Fish-Grade“ für Karten mit einer Aktivierungswahrscheinlichkeit von 30 bis 60 % und „Standard-Grade“ für Karten mit nahezu garantierter Aktivierung verwendet. Ironischerweise scheinen sie auch die Kundenzufriedenheit ernst zu nehmen – rund 80 % der untersuchten Verkäufer boten eine Form der Rückerstattung oder des Umtauschs für defekte Karten an.
Diese Screenshots aus dem Dark Web wurden teilweise unkenntlich gemacht und werden nur zu Informationszwecken gezeigt.
Welche Faktoren bestimmen den Preis einer Karte?
Gestohlene Karten scheinen denselben Marktkräften unterworfen zu sein wie normale Waren. Der Medianpreis für Karten auf den untersuchten Dark-Web-Marktplätzen lag bei 10 US-Dollar.
Gültigkeitsdauer der Karte
Der Medianpreis von Karten, die als „sehr hochwertig“ beworben werden, liegt bei 22 US-Dollar, was wahrscheinlich darauf zurückzuführen ist, dass Kriminelle davon ausgehen, dass diese am ehesten funktionieren. Im Allgemeinen kosten „Wallet-Ready“-Karten 3 bis 5 % des verbleibenden Betrags auf dem zugehörigen Konto. Im Gegensatz dazu können ältere Karten (die wahrscheinlich bereits gesperrt wurden) in großen Mengen für rund 2 US-Dollar verkauft werden.
Region und Verfügbarkeit
Die Preise für Karten variieren je nach Region erheblich. Mehr als 70 % aller Kartenangebote in der Studie stammten aus den USA, was zu starkem Wettbewerb zwischen Verkäufern führt und die typischen Preise relativ niedrig hält (rund 10 bis 12 US-Dollar). Karten aus anderen kaufkräftigen Regionen waren seltener und teurer, während Karten aus Afrika besonders niedrige Preise erzielten.
Hinzugefügte personenbezogene Daten
Persönliche Daten sind wertvoll – unsere Experten stellten fest, dass Karten, die mit persönlichen Daten gebündelt sind, teurer sind als solche ohne.
Auf dem größten untersuchten Marktplatz wurde beispielsweise eine Karte, die zusammen mit der Sozialversicherungsnummer und dem Geburtsdatum des Karteninhabers angeboten wurde, für 18,15 US-Dollar inseriert, während der Medianpreis für Karten ohne diese Informationen bei 11,70 US-Dollar lag. Eine weitere Karte mit noch mehr Angaben zur Identität wurde für 23 US-Dollar verkauft.
Zombie-Daten: „Toten“ Karten ein zweites Leben verleihen
Gesperrte (oder „tote“) Karten verschwinden nicht unbedingt von kriminellen Marktplätzen. Auch wenn sie nicht für Betrug mit digitalen Wallets oder für Online-Zahlungen verwendet werden können, können ungültige Karten wertvolle personenbezogene Daten enthalten – Daten, die für Phishing oder verschiedene Formen des identitätsbezogenen Betrugs genutzt werden können.
Unsere Untersuchung ergab, dass sogenannte „Dead Fullz“ (unbrauchbare Karten, die zusammen mit intakten Identitätsdaten verkauft werden) für etwa 1 US-Dollar pro Datensatz verkauft wurden. Um den Wert personenbezogener Daten in Relation zu setzen, können wir „Dead Fullz“ mit den Angeboten für ältere, vermutlich gesperrte Karten vergleichen, die in großen Mengen für etwa 2 US-Dollar pro Paket verkauft werden.
Methodik
Dieser Bericht stellt die Ergebnisse zweier Studien vor – eine Analyse von Kartenangeboten auf neun Darknet-Marktplätzen sowie eine Auswertung von Diskussionen in kriminellen Foren und Telegram-Kanälen.
Mit NordVPN sicherer online arbeiten, surfen und shoppen
Schütze deine Zahlungsdaten und persönlichen Daten vor Hackern – mit den fortschrittlichen Sicherheitsfunktionen von NordVPN.