Ausgabe Nr. 194 | Oktober 2026, Woche 3

Zwei US-Staatsbürger wegen Beihilfe zu nordkoreanischem IT-Betrug festgenommen

Geltungsbereich

Die Vereinigten Staaten

Threat Actor

Einzelperson

Straftat

IT-Betrug

Geschätzter Schaden

Über 3 Mio. $

Vollstreckungsmaßnahme

Festnahme

Verfahrensstatus

Ermittlungen hängend

Zwei US-Staatsbürger wurden verhaftet, weil sie nordkoreanischen IT-Arbeitern angeblich dabei geholfen haben, unter Nutzung gefälschter Identitäten Fernarbeitsplätze bei US-Unternehmen zu erhalten. Der Betrug soll zwischen 2019 und Juli 2025 mehr als 3 Millionen US-Dollar eingebracht haben.

The suspects, Michael James Bostelle of Pennsylvania and Juan Cecilio Pena Carrillo of Texas, allegedly helped workers hide their real locations and appear to be based in the United States. The scheme affected more than 70 US companies.

Laut Anklageschrift verwahrten die Verdächtigen vom Arbeitgeber ausgestellte Laptops an US-Standorten, sodass ausländische Mitarbeiter per Fernzugriff darauf zugreifen konnten. Die Mitarbeiter sollen falsche Identitäten, VPNs und Proxy-Dienste genutzt haben, um sich Arbeitsplätze zu sichern.

Im Rahmen der Operation Lonestar Roundup durchsuchte das FBI 40 Standorte in Texas, die im Verdacht standen, als Laptop-Farmen zu dienen. Behörden beschlagnahmten 187 Laptops und KVM-Geräte, die mit dem mutmaßlichen Betrugsschema in Verbindung standen. Die Anklageschrift benennt außerdem 10 Personen mit Wohnsitz in China.

Hacker wegen Diebstahls von 53 Mio. US-Dollar aus der Kryptobörse Uranium Finance verurteilt

Geltungsbereich

Die Vereinigten Staaten

Threat Actor

Einzelperson

Straftat

Kryptowährungs-Diebstahl

Geschätzter Schaden

Over $53.3 million

Vollstreckungsmaßnahme

Festnahme

Verfahrensstatus

Verurteilung

Ein 36-jähriger Mann wurde schuldig befunden, bei zwei Angriffen im April 2021 mehr als 53 Millionen Dollar von der Kryptowährungsbörse Uranium Finance gestohlen zu haben.

Jonathan Spalletta, online auch bekannt als „Jspalletta“ und „Cthulhon“, nutzte Schwachstellen im Smart-Contract-Code der Börse aus, um Kryptowährung zu stehlen. Der erste Angriff fand am 8. April statt, als er rund 1,4 Millionen US-Dollar stahl. Drei Wochen später führte er einen zweiten Angriff durch und stahl rund 53,3 Millionen US-Dollar, woraufhin die Börse aufgrund fehlender Mittel gezwungen wurde, den Betrieb einzustellen.

Spalletta later moved the stolen funds through cryptocurrency services to hide their origin. He used some of the money to buy expensive collectibles, including rare Pokémon and Magic: The Gathering cards, as well as an ancient Roman coin.

Im Februar 2025 beschlagnahmten die Strafverfolgungsbehörden die Sammlerstücke aus seiner Wohnung und sicherten etwa 31 Millionen US-Dollar in Kryptowährung aus verbundenen Wallets. Spalletta drohen nun bis zu 10 Jahre Haft wegen Computerbetrugs und bis zu 20 Jahre wegen Geldwäsche.

Eine internationale Operation richtet sich gegen Online-Betrug in Westafrika

Geltungsbereich

Westafrika

Threat Actor

Mehrere Akteure

Straftat

Online-Betrug; Menschenhandel

Geschätzter Schaden

Über 8,3 Mio. US-Dollar

Vollstreckungsmaßnahme

Festnahme

Verfahrensstatus

Ermittlungen hängend

Das US-Justizministerium hat die Ergebnisse einer internationalen Operation bekanntgegeben, die sich gegen Online-Betrugskonten und kriminelle Netzwerke richtete, die in Westafrika operieren.

An der Operation waren Strafverfolgungsbehörden aus den Vereinigten Staaten, dem Vereinigten Königreich, Nigeria, Ghana und mehreren anderen Ländern sowie INTERPOL und private Technologieunternehmen beteiligt.

In Ghana nahmen die Behörden 19 Personen fest und beschlagnahmten 303 elektronische Geräte. Die Polizei identifizierte außerdem 117 mutmaßliche Opfer von Menschenhandel, die auf ihre Rückführung nach Nigeria warten, sowie 89 Betrugsopfer, die Berichten zufolge rund 8,3 Millionen US-Dollar verloren haben.

In Nigeria nahmen die Behörden im Rahmen der Operation neun Personen fest und beschlagnahmten 53 elektronische Geräte. An sechs Orten in Ghana meldeten die Behörden zudem Dutzende Festnahmen, die Identifizierung von 34 Menschenhandelsopfern sowie die Beschlagnahmung von 129 elektronischen Geräten.

Zu den zerschlagenen Betrugsmaschen gehörten Fälle, in denen Kriminelle sich als Strafverfolgungsbeamte ausgaben, Opfern mit vorgetäuschten Festnahmen drohten und betrügerische Kryptowährungsinvestitionen anboten.

Chinesischsprachiger Phishing-Markt; Hacking-Tools durch Maßnahmenreihe lahmgelegt

Geltungsbereich

Die Vereinigten Staaten

Threat Actor

Mehrere Einrichtungen

Straftat

Phishing, online fraud

Geschätzter Schaden

Dutzende Millionen Dollar

Vollstreckungsmaßnahme

Stilllegung der Infrastruktur

Verfahrensstatus

Ermittlungen hängend

Microsoft und Health-ISAC haben Domains beschlagnahmt und umgeleitet, die mit drei Diensten (YAM Store, CoGUI und Iron Man) verknüpft waren, die von Cyberkriminellen zur Beschaffung von Konten, Phishing-Kits und Tools für Online-Betrug genutzt wurden.

Laut Microsoft wurden die Dienste seit Januar 2026 zum Versenden von mehr als einer Milliarde bösartiger Nachrichten genutzt. Die Kampagnen zielten auf Verbraucher und mehr als 75.000 Organisationen in über 150 Ländern ab. Die Betreiber sollen mehrere zehn Millionen Dollar verdient haben.

Microsoft hat mehr als 20.000 mit dem YAM Store verknüpfte Konten deaktiviert und blockiert über 100.000 Domains, die für Identitätstäuschung und Betrug genutzt werden.

YAM Store (auch bekannt als Storm-3119) verkaufte Zugriff auf kompromittierte oder durch Betrug erlangte Konten und Online-Umgebungen, darunter Konten, die mit Microsoft und Google verknüpft waren. Käufer konnten Konten anhand von Faktoren wie Alter, Abonnement und Organisationstyp auswählen.

Der Marktplatz bot zudem als „Storm-2990“ getrackte Phishing-Kits an, darunter „CoGUI“, „Haozi“ und „Iron Man“. „CoGUI“ used gegen Opfer in Japan und den Vereinigten Staaten; „Iron Man“ gewann ab Mitte 2026 an Boden, nachdem der YAM Store im Juni mit der Bewerbung begann.

In einer separaten Aktion beschlagnahmten US-Behörden zwei Tools (Microscan und FishHub), die angeblich von den mit China verbundenen Flax Typhoon Bedrohungsakteuren genutzt wurden. Microscan wurde eingesetzt, um Schwachstellen in Computernetzwerken aufzuspüren; FishHub half den Angreifern dabei, sich über Phishing Zugang zu verschaffen, Malware zu installieren und Dateien zu stehlen.

Die Tools wurden Berichten zufolge gegen Organisationen in den Vereinigten Staaten, Taiwan, Japan, Polen und anderen Ländern eingesetzt, darunter Energieversorger, Flughäfen, Universitäten und Nichtregierungsorganisationen.

Polizei verhaftet mutmaßliche Betreiber der Cyberkriminalitätsplattformen OLVX und Stryx

Geltungsbereich

North Macedonia, France

Threat Actor

Einzelperson

Straftat

Betrieb der Cybercrime-Plattformen

Geschätzter Schaden

Nicht angegeben

Vollstreckungsmaßnahme

Festnahme

Verfahrensstatus

Ermittlungen hängend

Die Polizei in Nordmazedonien hat den mutmaßlichen Administrator von OLVX festgenommen, einen Online-Marktplatz, der von Cyberkriminellen zum Kauf und Verkauf gestohlener personenbezogener Daten, Anmeldedaten und Tools für illegale Aktivitäten genutzt wird.

The suspect was not publicly named. The police said that the suspect managed OLVX-related websites and domains between 2023 and 2025. During that time, the platform offered more than 1,500 sets of stolen login credentials that could give criminals access to user accounts and computer networks.

Die Behörden verknüpften den Verdächtigen zudem mit einer Online-Telegram-Gruppe namens ONEMILI, die angeblich Software und Dienstleistungen für Cyberkriminalität, darunter betrügerische Rückerstattungsmaschen, anbot. Die Behörden fanden außerdem Beweise dafür, dass der Verdächtige über Telegram Material zu sexuellem Kindesmissbrauch (CSAM) beschafft und im Besitz hatte.

In der Zwischenzeit hat die französische Einheit zur Bekämpfung der Cyberkriminalität zwei Websites geschlossen, die im Verdacht standen, gestohlene Daten zu verkaufen, und drei 17-Jährige festgenommen, die hinter diesen stehen sollen. Die Plattform, die ursprünglich unter dem Namen „Reacher“ bekannt war und später in „Stryx“ umbenannt wurde, soll gestohlene personenbezogene Daten wie Namen, Adressen und Bankkontonummern angeboten haben. Sie gab an, über 730 Millionen Datensätze zu verfügen und 3,1 Millionen Anfragen erhalten zu haben. Im Falle einer Verurteilung drohen den drei Jugendlichen bis zu 10 Jahre Haft.