Cybergauner haben es erneut auf Twint-User abgesehen

Twint erfreut sich hierzulande grosser Beliebtheit. Der mobile Bezahlservice erreichte Anfang 2023 die Marke von 5 Millionen Nutzerinnen und Nutzern. Längst sind auch Cyberkriminelle auf den Hype aufmerksam geworden. Das Nationale Zentrum für Cybersicherheit (NCSC) warnt in seinem aktuellen Wochenrückblick vor unterschiedlichen Betrugsmaschen, die auf Twint respektive der Marke Twint aufbauen.

Phishing mit dem Twint-Logo

Das NCSC habe beispielsweise eine Meldung zu einem Phishing-Versuch erhalten, bei dem die Gauner das Twint-Logo missbrauchten. Der Vorfall habe beim NCSC besondere Aufmerksamkeit erregt, weil der Link in der Mail nur per Smartphone geöffnet werden konnte, nicht aber via PC. Die Nachricht sei von einem Smartphone aus versandt worden und die Kriminellen würden prüfen, auf welchem Gerät der Link angeklickt wird. Bei einem Aufruf via Smartphone erscheint eine Website, die Informationen des Twint-Kontos abfragt.

Die Betrüger machen dazu von einer Browser-Funktion Gebrauch, die ihnen anzeigt, über welches Gerät die Empfänger den Link öffnen. Das Phishing funktioniert in diesem Fall nur, wenn dies über ein Smartphone passiert.

Abzocke auf Kleinanzeigenplattformen

Auch auf Plattformen zum Weiterverkauf von Waren kommt es immer wieder zu Betrugsversuchen, wie das NCSC schreibt. Beispielsweise bestellen die Kriminellen bei einem legitimen Online-Händler Geschenkgutscheine über einen gewissen Betrag und wählen beim Checkout Twint als Bezahloption. Zugleich erstellen sie auf einer Kleinanzeigen-Webseite eine Anzeige für einen beliebigen Gegenstand zum exakt gleichen Preis.

Dieser Gegenstand wird zur Betrugsfalle: Will jemand diesen kaufen, erhält der potenzielle Käufer oder die Käuferin vom Händler den vermeintlichen Twint-Zahlencode zugesandt. Das Opfer zahlt damit aber nicht für den gewünschten Gegenstand, sondern für den Geschenkgutschein, den die Betrüger sofort einlösen.

Einsatz von Finanzagenten

Für eine dritte Betrugsmasche rekrutieren die Gauner jemanden, um für sie per Twint oder andere Zahlungsmittel Beträge entgegenzunehmen oder weiterzuleiten. Dies geschieht über sogenannte Finanzagenten oder Money Mules und ist illegal, wie das NCSC warnt. Die Finanzagenten würden oft über Fake-Job-Portale rekrutiert und wüssten gar nicht, dass sie sich strafbar machen.

In einem aktuellen Beispiel gaukelten die Betrüger vor, eine teure Grafikkarte relativ günstig per Kleinanzeige verkaufen zu wollen. Der Käufer überwies den Betrag an eine angegebene Telefonnummer - die des Finanzagenten. 

Bereits im Vorjahr gab es mehrmals Berichte über Betrugsversuche im Zusammenhang mit der Bezahlplattform. So warnte etwa das NCSC erst im September vor derartigen Gaunereien. Im März 2022 berichtete die Kantonspolizei Zürich von ähnlichen Beschwerden.

Um sich vor solchen Betrugsversuchen zu schützen, rät das NCSC, die folgenden Punkte zu beachten:

• Seien Sie bei jeder Zahlung aufmerksam und überprüfen Sie die Angaben, bevor Sie die Zahlung auslösen;
• Setzen Sie Limits auf allen Zahlungsmöglichkeiten entsprechend Ihrem Budget und der Sicherheit des Zahlungsmittels. Dies gilt insbesondere auf den Zahlungsmitteln, welche Sie online (über das Internet) oder kontaktlos verwenden;
• Verwenden Sie eine zweistufige Freigabe für Zahlungen, wenn diese angeboten wird;
• Falls möglich, verwenden Sie Online und Offline andere Zahlungsarten, beispielsweise unterschiedliche Kreditkarten mit einer tiefen Limite für die Online verwendete Kreditkarte;
• Nutzen Sie nie QR-Codes, die Ihnen jemand aus nicht vertrauenswürdigen Quellen zuschickt;
• Nutzen Sie nie fünfstellige Zahlencodes, die Ihnen Verkäufer auf Tauschplattformen wie Facebook Marketplace, tutti.ch, etc. zuschicken;
• In der Interaktion mit unbekannten Personen auf Online-Plattformen seien Sie vorsichtig;
• Nur kommerzielle Händler, die bei Twint offiziell registriert sind bieten einen QR-Code an und bei Twint werden nur diese QR-Codes bei Bezahlung akzeptiert. Lassen Sie daher Vorsicht walten, wenn eine Privatperson Ihnen die Bezahlung via QR-Code anbietet. Lassen Sie sich nicht unter Druck setzen.
• Keine Bank und kein Kreditkarteninstitut wird Sie jemals per E-Mail auffordern, Passwörter zu ändern oder Kreditkartendaten zu verifizieren;
• Geben Sie nie persönliche Daten wie Passwörter oder Kreditkartendaten auf einer Webseite ein, die sie über einen Link in einer E-Mail oder SMS angeklickt haben; 
• Bedenken Sie, dass E-Mail-und SMS-Absender leicht gefälscht werden können. Seien Sie skeptisch, wenn Sie E-Mails bekommen, die eine Aktion von Ihnen verlangen und ansonsten mit Konsequenzen drohen (Geldverlust, Strafanzeige oder Gerichtsverfahren, Konto- oder Kartensperrung, Verpasste Chance, Unglück).

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den wöchentlichen Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.