Eine gefälschte Abbuchungswarnung, ein angeblicher Rückruf vom Support, ein sechsstelliger Code am Telefon: Mit dieser Kombination ziehen Betrüger derzeit Apple- und Amazon-Kunden sensible Daten aus der Tasche. Die Masche tritt die Nachfolge des „Apple High Alert“-Scams an, der im Juni für Schlagzeilen sorgte, und sie ist handwerklich deutlich besser gemacht.
Der Angriff beginnt mit einer E-Mail oder SMS, die eine angebliche unautorisierte Belastung meldet: ein iPhone-Kauf über Apple, eine teure Elektronik-Bestellung bei Amazon. Der Betrag ist bewusst hoch gewählt, oft zwischen 800 und 2.000 Euro, um Panik auszulösen. Wer die Transaktion „stornieren“ will, findet in der Nachricht eine Rufnummer. Und genau dort wartet der eigentliche Betrug.
Wie läuft der Angriff konkret ab?
Am anderen Ende der Leitung meldet sich ein geschulter Anrufer, der als Support-Mitarbeiter von Apple oder Amazon auftritt. Er bestätigt die vermeintliche Abbuchung, nennt eine falsche Bestellnummer und bietet die Stornierung an, gegen eine „Verifizierung“. Dafür fordert er die Zugangsdaten zum Apple-Account oder Amazon-Konto und den Zwei-Faktor-Code an, den das Opfer zeitgleich per SMS erhält.
Mit diesem Code übernehmen die Täter das Konto vollständig. Bei Apple heißt das: Zugriff auf hinterlegte Kreditkarten, Apple Pay, gespeicherte Passwörter in der iCloud. Bei Amazon: Bestellungen auf Kosten des Opfers, Auslesen der Zahlungsdaten, teilweise Missbrauch des Prime-Kontos für weitere Betrugsversuche.
Auffällig an dieser Welle: Die Betrüger imitieren echte Sicherheitsprozesse. Der angeforderte Code ist tatsächlich ein legitimer Verifizierungscode, nur dass er nicht das Opfer schützt, sondern dem Angreifer den finalen Login ermöglicht. Diese Umkehrung des Mechanismus macht die Masche so wirksam. Verbraucher, die sich „extra sicher“ fühlen, weil sie einen Code ablesen müssen, liefern genau das fehlende Puzzleteil.
Was bedeutet das für Shopbetreiber?
Für Händler ist die Sache zweigleisig relevant. Zum einen tragen solche Kampagnen dazu bei, dass Kunden legitime Transaktionsmails misstrauen. Wenn eine echte Zahlungswarnung von PayPal, Klarna oder der Hausbank im selben Stil daherkommt wie die Fälschung, geht sie unter, oder löst verunsicherte Support-Anfragen aus. Wer eine eigene Warenkorb-Abbruch-Strecke mit Zahlungserinnerungen betreibt, sollte die Antwortquoten in den kommenden Wochen im Blick behalten.
Zweitens: Die gleiche Taktik funktioniert auch gegen Shop-Administratoren. Ein Anrufer, der sich als „Support von Shopify“ oder „Shopware-Sicherheitsteam“ ausgibt und einen Code zur „Absicherung des Admin-Zugangs“ verlangt, bedient sich exakt desselben Drehbuchs. Der Schaden ist dann kein geleakter Apple-Account, sondern ein kompromittierter Shop inklusive Kundendatenbank.
Der Verifizierungscode ist kein Schutzschild mehr, sobald ihn jemand laut vorliest.
Konkrete Gegenmaßnahmen sind unspektakulär, aber wirksam. Zwei-Faktor-Authentifizierung für alle Shop-Admin-Accounts gehört ohnehin zum Standard, wichtiger ist die interne Regel, dass niemand im Team Codes oder Passwörter am Telefon weitergibt, egal wer anruft. Im Kundenkontakt hilft ein kurzer Hinweis in der Bestellbestätigung, dass der Shop niemals telefonisch nach Zahlungsdaten fragt. Das kostet eine Textzeile und nimmt Betrügern später die Angriffsfläche.
Die nächste Welle ist bereits absehbar: Nach Apple und Amazon dürften PayPal und die großen deutschen Logistiker als Absender-Tarnung folgen, dort liegt das Vorbild dieser Masche ohnehin schon. Wer jetzt die Kommunikationsregeln im Team festzurrt und die Kundenkommunikation entsprechend vorbereitet, muss dann nur noch beobachten statt reagieren.