1. Warum Telegram?
Bei der Auseinandersetzung mit dem Diebstahl und Weiterverkauf personenbezogener Daten stellten wir fest, dass immer wieder der Name „Telegram“ auftauchte. Der Messaging-Dienst spielt eine zentrale Rolle in der Schattenwirtschaft: als Schaufenster für Hackergruppen, aber auch als Ort des direkten Austauschs unter Betrügern. Viele kriminelle Foren im Clear oder Dark Web haben ihre eigenen Gruppen und Kanäle auf Telegram.
Gespräche mit Experten bestätigten: Telegram ist zum Hotspot für Cyberkriminelle geworden, auch wenn diese im Moderationsbericht der Plattform keine ausdrückliche Erwähnung finden (https://telegram.org/moderation).
2. Vorgehen und Schutzmaßnahmen
Die Recherche führten wir mithilfe dreier Telegram-Konten durch, zwei davon unter falscher Identität. Das dritte Konto unter unserer echten Identität als Journalisten nutzten wir, um Cyberkriminelle zu kontaktieren, sie um Interviews zu bitten und gezielt zu befragen.
3. Organisation des cyberkriminellen Ökosystems auf Telegram
Das kriminelle Ökosystem basiert auf drei sich ergänzenden Strukturen:
– Anzeigenkanäle, die einem bestimmten Produkt oder einer Dienstleistung gewidmet sind. Die Cyberkriminellen nutzen sie, um die neuesten Updates ihrer Malware anzukündigen, Demos ihrer Dienstleistungen zu veröffentlichen oder Bewertungen zufriedener Kunden zu verbreiten. Nur der Eigentümer des Kanals kann sich hier äußern;
– Diskussionsgruppen, die oft mit den Anzeigenkanälen verbunden sind. In den Gruppen können sich die Mitglieder frei äußern. Hier wird um Rat gefragt, Streit beigelegt oder für eigene Dienste und Gruppen geworben;
– Bots, die zur Automatisierung bestimmter Aktivitäten verwendet werden, zum Beispiel für den Empfang gestohlener Daten über gefälschte Websites oder die Einrichtung von Shops, in denen Ausweisdokumente gekauft werden können.
4. Recherche und Entschlüsselung der Inhalte
Die Recherche erforderte die Entschlüsselung eines spezifischen Vokabulars, das für gezielte Suchen unerlässlich ist. Diese Entschlüsselung erfolgte durch:
- direkten Austausch mit Cyberkriminellen, die uns bestimmte Fachbegriffe erklärten;
- Anfragen an Sprachmodelle (LLM), um die insbesondere von russischsprachigen Cyberkriminellen verwendeten Ausdrücke und Anglizismen zu verstehen;
- Austausch mit Experten, die zum Verständnis unserer Beobachtungen beitrugen und uns Zugang zu ihren eigenen Forschungsergebnissen gewährten;
- Übersetzungsarbeiten.
Als wir dieses Vokabular beherrschten, fiel es uns leichter, in die cyberkriminellen Netzwerke einzudringen. Um zum Beispiel Gruppen zu infiltrieren, in denen die Betrüger direkt über Telefonanrufe mit ihren Opfern in Kontakt treten, war es notwendig, die für dieses Ökosystem typische Sprache zu beherrschen, also Begriffe wie „floko“, „rez“, „CC“ oder „no VBV“.
Zu guter Letzt überprüften wir unsere Beobachtungen systematisch, entweder durch Nachweisanfragen an die Cyberkriminellen oder durch Abgleich mit potenziellen Opfern, deren Identität in Telegram-Kanälen auftauchte. So konnten wir feststellen, ob die Betrüger tatsächlich über die Daten verfügten, die sie zum Verkauf anboten.
Quellen
Fachartikel und Blogs
Allgemeine Presse und Ermittlungsverfahren (Frankreich)
https://www.liberation.fr/economie/economie-numerique/fuite-de-donnees-chez-free-que-risquent-les-clients-dont-les-iban-ont-ete-pirates-20241028_BCJLHCCY3VCG3GGJKJVHMHJSL4/
Institutionelle und staatliche Quellen
Frankreich
International
Audiovisuelle Inhalte
- Hudson Rock - Mitschnitt eines Seminars von Leonid Rozenberg, Vertriebsingenieur von Hudson Rock, zum Thema Infostealers
https://www.youtube.com/watch?v=MQb_G0dqVVY
- John Hammond - YouTuber mit Spezialgebiet Cybersicherheit und mehreren interessanten Videos zu Cyberkriminalität und Telegram:
Technische, präventive und pädagogische Tools
- Leak Lookup – Suche nach geleakten Daten https://leak-lookup.com/ Ein Tool, mit dem überprüft werden kann, ob Zugangsdaten oder personenbezogene Daten offengelegt wurden, wodurch das Bewusstsein für Prävention gestärkt wird.
- Ransomware.live – Verfolgung von Ransomware-Attacken in Echtzeit
https://www.ransomware.live/
Ein von Julien Mousqueton entwickeltes interaktives Dashboard, das Ransomware-Vorfälle weltweit in Echtzeit mit einer kostenlosen API anzeigt.
- Have I Been Pwned – Überprüfung von Konten auf Kompromittierung
https://haveibeenpwned.com/
Ein Dienst, mit dem jeder überprüfen kann, ob eine E-Mail-Adresse durch einen Datenleck kompromittiert wurde – ein wichtiges Instrument zur Sensibilisierung für persönliche Cybersicherheit.
- Infostealers.com – Ressourcen zum Thema Infostealers von Hudson Rock
https://www.infostealers.com/
Website entwickelt von Hudson Rock, einem Unternehmen, das sich auf Infostealers (Software zum Diebstahl von Informationen) spezialisiert hat. Vereint zahlreiche Ressourcen zum Thema Stealer und bietet kostenkose Tools, mit denen die verwendeten Familien, Vektoren und Methoden detailliert beschrieben werden, darunter ein Telegram-Bot, mit dem man überprüfen kann, ob die eigenen Daten kompromittiert wurden.
- VirusTotal – Plattform zur Analyse von Dateien und URLs auf Virenbefall https://www.virustotal.com/gui/home/upload
- BonjourLaFuite.eu.org – Plattform zur Verfolgung von Datenlecks, insbesondere zur Überprüfung, ob die auf Telegram zu Verkauf stehenden Datenbanken echte Datenbanken aus echten Angriffen sind. https://bonjourlafuite.eu.org
