Checkbetrug ist out, Kryptobetrug in

Traditionelle Überzahl- und Checkbetrugsversuche, bei denen Firmen zusätzlich zum eigentlichen Auftrag Dienstleistungen bei Drittfirmen kaufen sollen, sind out. Wie das Bundesamt für Cybersicherheit BACS mitteilt, testen Betrüger neue Varianten mit modernen Zahlungsmitteln.

Bei einem Überzahl- oder Checkbetrug schreiben Betrüger Dienstleistungsunternehmen wie Hotels oder Eventfirmen an. Die Betrüger versuchen dann weitere Dienstleistungen wie Automiete, Essen, Billette zu erwerben oder den überschüssigen Betrag auszahlen oder per Geldtransferservice zurück überweisen zu lassen. Wie das BACS schreibt, sind dann solche Checks nicht gedeckt.

Diese traditionelle Version des Betrugs werde heutzutage praktisch nicht mehr gemeldet, heisst es weiter. Auch weil Checks in der Schweiz kaum mehr gebräuchlich sind. Das BACS verzeichnete im laufenden Jahr 2024 bislang nur eine einzige Meldung.

Neue Variante, gleiches Muster

Betrüger testen deshalb neue Varianten nach gleichem Muster, die aber digitale Zahlungsmethoden berücksichtigen. Eine neue Variante wurde dem BACS in der letzten Woche gemeldet. Die Geschichte geht so:

Der Betrug beginnt in diesem Fall mit der Kontaktaufnahme einer angeblich internationalen Firma mit der Schweizer Firma A. Diese verlangt eine Offerte für 10 Holzschredder im Gesamtwert von 2 Millionen Schweizer Franken. Bei der Abnahme dieser Menge ist klar, dass auch ein Mengenrabatt erwartet wird, was für den weiteren Verlauf noch wichtig wird. Allerdings soll nicht die internationale Firma als Kunde für den Kauf auftreten, sondern eine andere Schweizer Firma B. Bis zu diesem Punkt ist das Vorgehen noch nachvollziehbar, da es Gründe geben kann, warum der Kauf über eine Schweizer Firma und nicht über eine ausländische Firma abgewickelt werden soll.

Was dann jedoch folgt, ist sehr ungewöhnlich. Der Auftragnehmer (Firma A) soll eine Geheimhaltungserklärung unterzeichnen, die es ihm verbietet, direkt mit dem Schweizer Auftraggeber (Firma B) Kontakt aufzunehmen. Das ganze Prozedere soll ausschliesslich über die internationale Drittfirma laufen. Im Anschluss sendet die Firma A dann auch das Angebot für die Schreddermaschinen mit einem Mengenrabatt von 10 % nicht an den aufgeführten Schweizer Auftraggeber, sondern direkt an die Drittfirma im Ausland. Diese bestellt und retourniert prompt das Angebot mit Unterschrift und Firmenstempel der Schweizer Firma und fügt auch noch eine Kopie der Identitätskarte eines Mitarbeiters hinzu. Auf den ersten Blick scheint alles normal und rechtens zu sein.

Im Anschluss stellt die internationale Firma allerdings weitere Forderungen und möchte, dass der gewährte Rabatt von 10% auf ein Kryptowährungskonto ihre Wahl ausgezahlt wird. Der gesamte Betrag soll dann zu einem späteren Zeitpunkt direkt vom Schweizer Auftraggeber (Firma B) bezahlt werden. Nun wird die Vorgehensweise des Betrugs offensichtlich. Anstelle eines ungedeckten Checks wird hier der Name einer Schweizer Firma und die ID eines Mitarbeiters verwendet. Der Auftragnehmer wird aufgefordert, im Voraus eine Zahlung auf ein Kryptokonto zu leisten. Erst später wird er feststellen, dass der eigentliche Auftrag geplatzt ist und das Geld für den Auftrag nie überwiesen wird. Der angebliche Schweizer Auftraggeber und auch der Mitarbeiter, dessen Identitätskarte verwendet wurde, haben vom ganzen Betrugsversuch keine Ahnung.

Die Kopie der Mitarbeiter-ID wurde, wie das BACS vermutet, im Vorfeld in Zusammenhang mit einem anderen Betrugsversuch entwendet. Es ist gut möglich, dass die Betrüger den Namen des ID-Inhabers gesucht haben und dann beispielsweise auf LinkedIn herausgefunden haben, wo diese Person arbeitet. Auf diesen Informationen konnten die Betrüger dann die ganze Geschichte aufbauen.

Das empfiehlt das BACS:

• Gehen Sie nicht auf solche Angebote ein und brechen Sie den Kontakt ab;
• Sensibilisieren Sie alle Mitarbeitenden, insbesondere die Mitarbeitenden in den Finanzabteilungen und in Schlüsselpositionen über diese möglichen Angriffsweisen;
• Kommen Sie keinen ungewöhnlichen Zahlungsaufforderungen nach;
• Verifizieren und diskutieren Sie die Richtigkeit eines Auftrages bei ungewöhnlichen Aufforderungen innerhalb der Firma durch telefonische Rücksprache;
• Seien Sie vorsichtig im Umgang mit Checks. Es kann drei bis vier Wochen dauern, bis die Bank mit Sicherheit sagen kann, ob ein Scheck gedeckt ist oder nicht. Sie haften typischerweise gegenüber der Bank für die Deckung des Checks.

Nicht nur bezüglich Checkbetrugsmaschen sind Kriminelle krativ geworden, auch beim CEO-Betrug zeigen sie sich innovativ. In einer neuen Version des CEO-Betrugs verwenden sie KI und Deep Fake, um ihre Opfer hinters Licht zu führen. Mehr dazu lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.