Das FBI warnt vor gefälschten FIFA-Webseiten, die Cyberkriminelle aufsetzen, um damit etwa an Daten oder Geld von potenziellen Opfern zu gelangen. IT-Sicherheitsunternehmen haben etwa die Kampagne der kriminellen Gruppe „Ghost Stadium“ analysiert.

Die US-amerikanische Bundesbehörde [Link auf https://www.ic3.gov/PSA/2026/PSA260527]FBI verbreitet eine öffentliche Bekanntmachung zu betrügerischen, gefälschten FIFA-Webseiten. Die imitieren die legitime Webseite mitsamt des Brandings, Produktangeboten und weiterem. Sie dienen den bösartigen Akteuren dazu, persönliche Daten zu stehlen oder Finanzbetrug zu begehen.

Die Strafverfolger des FBI haben dabei beobachtet, dass die Täter persönliche Informationen sammeln, gefälschte Tickets und Merchandise verkaufen und möglicherweise noch weitere Straftaten begehen. Mit den persönlichen Daten können die Angreifer neue Konten im Namen der Opfer anlegen und diese letztlich betrügen, schreibt das FBI. Die falschen Webseiten imitieren auch die legitime URL, indem sie Typosquatting-Domains verwenden, etwa „fiffa[.]com“. Sie setzen aber auch thematisch passende Domains wie „jobs-fifa[.]com“.

Zig betrügerische Domains

Das FBI listet bereits zig bekannte betrügerische Domains auf, zu viele, um sie hier abzubilden. Die Ermittler betonen, dass es weitere geben wird und Interessierte daher wachsam bleiben sollen.

Die IT-Forscher von Group-IB haben zudem noch viel mehr betrügerische Webseiten entdeckt. Laut deren Erkenntnissen gibt es bereits mehr als 4300 betrügerische Domains seit August 2025, die die FIFA-Seite fälschen. Die Drahtzieher hinter einer solchen Kampagne nennen die Analysten „Ghost Stadium“. Sie sprechen der Group-IB-Analyse zufolge chinesisch und handeln aus finanziellen Motiven. Sie haben eine pixelgenaue Kopie der FIFA-Webseite erstellt, auch mit einer Single-Sign-on-Authentifizierung, die zudem elf Sprachen unterstützt.

Mehr als 300 Domains laufen mit der betrügerischen Infrastruktur im Hintergrund. Sie greifen das Ping-Identity-SSO-System der FIFA an, um Zugangsdaten abzugreifen. 140 weitere Domains gelten als verdächtig und 3800 sind noch geparkt und warten nur auf ihre Aktivierung. Insgesamt 2513 FIFA-Kontenzugangsdaten für die Domains fifa.com und fifa.org haben die IT-Forscher bereits im Darknet gefunden. Insgesamt hat Group-IB vier unabhängige Betrügerbanden ausgemacht und eine Phishing-as-a-Service-Lieferkette, die vorgefertigte „Betrugsbaukästen“ verkauft und auch automatisierte Ticket-kaufende Bots betreibt. Werbung für die Betrugsseiten läuft etwa über Facebook. Die verlinkte Analyse beleuchtet die betrügerischen Seiten und Hintergründe tiefgehend.

Als Sicherheitshinweise gibt das FBI die bekannten Tipps, etwa die FIFA-Webseite durch manuelle Eingabe der korrekten Adresse in die Adresszeile des Webbrowsers oder aus den Lesezeichen heraus zu besuchen. Bei der Nutzung von Suchmaschinen sollten die Treffer mit der Markierung „Sponsored“ gemieden werden, da die Betrüger oft Werbung für die falschen Domains schalten. Subdomains sollten nur von der offiziellen FIFA-Webseite aus angesteuert werden, nicht über Webseiten von Dritten.

Nach einer Vereinbarung zwischen FIFA und YouTube wird die Videoplattform offizieller Partner und zur bevorzugten Plattform der anstehenden Fußball-Weltmeisterschaft. Die c’t hat zudem einige Tipps für das heimische Public Viewing des Turniers zusammengestellt.

(dmk)

Für die Einreise nach Großbritannien ist seit dem vergangenen Frühling oftmals eine Einreisegenehmigung namens „ETA“ (Electronic Travel Authorisation) nötig. Neben der offiziellen Webseite gov.uk/eta sind inzwischen zahlreiche Glücksritter mit eigenen Antragsseiten und deutlich überzogenen Preisen online gegangen. Eine dieser Seiten hat nun hunderttausende Dokumente von Antragstellern offen im Netz gelagert.

Darüber berichtet TechCrunch. Demnach seien mindestens 100.000 Dokumente in einem Amazon-Cloudspeicher (Bucket) zugreifbar gewesen, von Antragstellern, die etwa ihren Ausweis und Selfies im Rahmen des Antragsstellungsprozesses hochgeladen haben. Der Name der betroffenen Webseite lautet demnach „UK Visa Portal“. In der Nacht zum Mittwoch wurden die Daten abgesichert, jetzt sind sie nicht mehr einfach zugreifbar.

Das Amazon-Bucket hatte hochgeladene Daten nicht direkt aufgelistet, die Daten waren nur zugreifbar, wenn die Adresse bekannt war. Die hat jedoch das Backend hinter der „UK Visa Portal“-Webseite offenbar preisgegeben, sodass ein Zugriff möglich war. Die Seite ist dem Bericht zufolge auch unter „UK Visit“ und „ETA-Pass“ erreichbar. Eine Stichprobe von TechCrunch bestätigte die Echtheit der Daten, das Medium hat einige betroffene Individuen kontaktiert.

Möglicher Identitätsdiebstahl

Mit den Ausweiskopien können Angreifer etwa Identitätsdiebstahl begehen. Die weiteren Daten erleichtern zudem echter wirkendes Phishing. Wer diese Webseiten zum Einreichen des ETA-Antrags genutzt hat, sollte daher künftig besondere Vorsicht walten lassen.

Diese Webseiten waren bereits Grund zur Warnung, etwa durch das LKA Niedersachsen oder Verbraucherzentralen. Diese Webseiten sind im Regelfall mindestens überteuert und verlangen ein Vielfaches der eigentlichen Gebühren. Das LKA warnte auch vor betrügerischen Webseiten.

(dmk)

Die US-amerikanische IT-Sicherheitsbehörde CISA hat eine Warnung vor den kürzlich entdeckten Supply-Chain-Angriffen auf mehrere Produkte veröffentlicht. IT-Verantwortliche sollten das zum Anlass nehmen, zu prüfen, ob sie unwissentlich mit Malware verseuchte Pakete einsetzen.

Insgesamt warnt die CISA vor drei Vorfällen. An erster Stelle stehen die Daemon Tools, die zwischen dem 8. April und 5. Mai 2026 mit Malware infizierte Installer von Daemon Tools Lite ausgeliefert haben. Die Version 12.6 und neuere der Daemon Tools Lite enthalten keinen Schadcode mehr, versichert der Anbieter. Der Vorfall hat einen CVE-Schwachstelleneintrag erhalten (CVE-2026-8398, CVSS 9.8, Risiko „kritisch“). Ungewöhnlich ist die Dringlichkeit, die die CISA zum Fixen vorgibt: Statt der üblichen zwei Wochen haben US-amerikanische Behörden lediglich bis zum 30. Mai Zeit, die bereinigte Software zu verteilen.

Ein weiterer Lieferkettenangriff erfolgte auf TanStack. Dabei haben die bösartigen Akteure 42 Pakete kompromittiert, mit 84 kompromittierten Versionen. Nach nur 20 Minuten sind die infizierten Pakete aufgeflogen (der CVE-Eintrag spricht gar nur von 6 Minuten am 11. Mai 2026, von 19:20 bis 19:26 Uhr UTC) und seitdem als „deprecated“ markiert, es ist jedoch unklar, wie oft sie installiert wurden. Betroffene sollten ihre Zugangsdaten auf jeden Fall erneuern. Der zugehörige CVE-Schwachstelleneintrag hat die Nummer CVE-2026-45321 erhalten (CVSS 9.8, Risiko „kritisch“).

Dritte Supply-Chain-Attacke

Auch das Entwickler-Tool Nx Console wurde im Mai 2026 Opfer eines Supply-Chain-Angriffs. Die Version 18.95.0 war betroffen, zwischen 12:30 und 13:09 Uhr UTC stand kompromittierte Software zum Download bereit. Das Problem ging offenbar von einer vereinzelten Entwickler-Maschine aus, die eine Woche zuvor ein manipuliertes TanStack-Paket gezogen und dann eingebaut hat. Ein Postmortem-Bericht der Nx-Console-Maintainer geht in die Details. Der Schwachstelleneintrag lautet CVE-2026-48027 (CVSS 9.8, Risiko „kritisch“).

Der letzte Vorfall zeigt, dass eine Kompromittierung durch die Lieferkette rasch und zunächst unbemerkt erfolgen kann. Entwickler sollten gegebenenfalls die eingesetzten Pakete einmal prüfen, ob dort bekannt kompromittierte Pakete hereingerutscht sind.

(dmk)