Phishing und Ticketbetrug zur WM 2026 Betrugsnetzwerk Ghost-Stadium zielt mit 4.300 Domains auf WM-Fans

Anbieter zum Thema

Group-IB Europe B.V.

Fujitsu Technology Solutions GmbH

Zur FIFA-Weltmeisterschaft 2026 läuft ein massives Betrugsnetzwerk auf Hochtouren: Sicherheitsforscher haben über 4.300 gefälschte Domains, sechs parallele Betrugsmaschen und einen hochprofessionellen Phishing-Akteur identifiziert. Der potenzielle Schaden geht in die Milliarden, die Infrastruktur steht bereits.

Die FIFA-Weltmeisterschaft 2026, die seit dem 11. Juni und bis zum 19. Juli in den Vereinigten Staaten, Kanada und Mexiko stattfindet, wird das größte Sportereignis sein, das jemals veranstaltet wurde. 104 Spiele in 16 Städten. Mehr als 6 Millionen Fans, die die Stadien füllen. Über 150 Millionen Ticketanfragen innerhalb von 15 Tagen nach Beginn des Vorverkaufs - etwa dreißigmal so viele wie bei früheren Turnieren.

Dieses Ausmaß und die Verzweiflung, die es bei Fans auslöst, nach kaum zu bekommenden Tickets zu jagen, haben Bedingungen geschaffen, die organisierte Betrugskampagnen gezielt ausnutzen. Monate vor dem Eröffnungsspiel haben Cybercrime-Ermittler von Group-IB ein weit verzweigtes Betrugsnetzwerk identifiziert, das sich gezielt die weltweite Aufmerksamkeit rund um das Turnier zunutze macht: mehr als 4.300 betrügerische Domains, die sich als offizielle Webpräsenz der FIFA ausgeben, sechs verschiedene Betrugsmaschen, die gleichzeitig laufen, vier unabhängige Gruppen von Angreifern und über 2.500 kompromittierte FIFA-Kontodaten, die bereits auf Dark-Web-Märkten im Umlauf sind.

Im Zentrum dieses Ökosystems steht ein Akteur, den Group-IB als „Ghost Stadium“ bezeichnet - ein finanziell motivierter, chinesischsprachiger Betreiber, der eine koordinierte Phishing-Kampagne über mehr als 300 Domains hinweg durchführt. Konservative Schätzungen beziffern die potenziellen finanziellen Verluste allein durch Betrug mit Premium-Tickets auf 71 bis 474 Millionen US-Dollar. Über die gesamte Kampagne hinweg könnten die Verluste in die Milliarden gehen.

Gen Z

Junge Onliner tappen oft in Phishing-Fallen

Ghost Stadium: Eine pixelgenaue Nachahmung

Die Ghost Stadium-Kampagne ist keine plumpe Angelegenheit. Ihr Phishing-Kit ist eine maßgeschneiderte, auf React basierende Single-Page-Anwendung, die die offizielle FIFA-Website nahezu pixelgenau nachbildet. Das Kit wurde mit Layui 2.7.6 erstellt - einem chinesischen Open-Source-UI-Framework, das außerhalb der chinesischen Entwickler-Community so gut wie unbekannt ist - und repliziert den offiziellen Single-Sign-On-Authentifizierungsdienst (SSO) der FIFA, der von PingIdentity bereitgestellt wird, wobei die tatsächliche client_id aus der echten FIFA-Plattform übernommen wird.

Der nachgebildete Anmeldeablauf ist funktional nicht von dem legitimen zu unterscheiden. Entscheidend ist, dass das Phishing-Kit einen Scope-Parameter anfordert, der das Zurücksetzen des Passworts autorisiert. Dadurch können Angreifer nach Eingabe der Zugangsdaten unmittelbar die Kontrolle über das Konto übernehmen und den rechtmäßigen Nutzer aussperren. Produktbilder und das FIFA-Branding werden direkt aus dem offiziellen Content Delivery Network der FIFA geladen, wodurch die Seite ohne Infrastrukturkosten visuell authentisch wirkt und gleichzeitig Erkennungstools, die Hash-Signaturen von gehosteten Bildern vergleichen, umgeht.

Das Kit erkennt automatisch die Browsersprache und schaltet seine Benutzeroberfläche in elf Sprachen um, darunter Englisch, Deutsch, Französisch, Spanisch, Arabisch, Japanisch, Koreanisch und drei Varianten des Chinesischen - vereinfachtes, traditionelles und Hongkong-Chinesisch. Diese sprachliche Differenzierung selbst ist ein Hinweis auf die Herkunft: Chinesischsprachige Entwickler unterscheiden diese Sprachvarianten, da sie in ihrem eigenen Umfeld bedeutungsvolle Unterschiede darstellen. Im Quellcode wurden Kommentare in chinesischer Sprache gefunden, die einen weiteren Hinweis auf die Herkunft des Angreifers liefern.

Die Infrastrukturanalyse bestätigt die Kontrolle durch einen einzigen Betreiber. Gemeinsame SSL-Zertifikate und Meta (Facebook)-Pixel-IDs sind in allen über 300 Phishing-Domains identisch eingebettet und verbinden den gesamten Cluster mit denselben Werbekonten. Byte-für-Byte identische HTML-Seiten und übereinstimmende Live-Chat-Service-Identifikatoren über 79 Premium-Domains hinweg bestätigen eine automatisierte Bereitstellung über mehrere Domains aus einem einzigen Quell-Kit.

Kurz vor Olympia

Italien wehrt russische Hackerangriffe ab

Wie die Täter ihre Opfer erreichen – und daraus Profit schlagen

Facebook-Werbung ist der primäre Kanal zur Traffic-Akquise. Der Angreifer nutzt die Werbeplattform von Meta, um Phishing-Seiten direkt bei den Zielnutzern zu bewerben, und setzt dabei Dringlichkeitsstrategien ein: drastisch reduzierte Preise - bis zu 60 US-Dollar für Tickets, deren offizieller Preis bei Tausenden liegt - gepaart mit Countdown-Timern und „Wer zuerst kommt, mahlt zuerst“-Botschaften. Die Analyse zeigte drei identische Meta-Pixel-IDs auf allen mehr als 300 Phishing-Domains, was auf eine zentrale Verwaltung und Steuerung des gesamten Netzwerks schließen lässt.

Besuchern, die auf einer beliebigen Cluster-Domain landen, wird sofort ein gefälschtes Popup-Fenster angezeigt, das eine offizielle Ankündigung des Veranstalters imitiert. Der anschließende Ablauf - Spielauswahl, Paketauswahl, Sitzplatzkategorie, Warenkorbüberprüfung, Bezahlung - ist so strukturiert, dass er einem legitimen Kauf ähnelt. Während bei bestehenden Nutzern die Zugangsdaten kompromittiert werden, erfassen die Angreifer bei Neukunden im Rahmen eines simulierten Bestell- und Bezahlprozesses zusätzlich Zahlungsinformationen sowie umfangreiche personenbezogene Daten.

Zahlungen werden über mindestens fünf Kanäle akzeptiert: direkte Kartenerfassung, Zahlungsgateways von Drittanbietern, Peer-to-Peer-Überweisungsanwendungen mit Geotargeting nach Land des Opfers, regionsspezifische Zahlungswege einschließlich einer speziellen Integration für Mexico Payment sowie On-Ramp-Dienste für Kryptowährungen, die Kartenzahlungen in USDT umwandeln - was dem Angreifer eine unwiderrufliche Abrechnung ermöglicht. Unabhängig davon, welcher Kanal genutzt wird, werden keine Tickets ausgeliefert.

Cyberkriminelle, Hacktivisten und Nationalstaaten

Mögliche Cyber-Bedrohungen rund um die Olympischen Spiele in Paris

Das umfassendere Ökosystem: Fünf weitere Betrugsmaschen

Die Phishing- und gefälschte Ticketverkaufsaktion von Ghost Stadium ist der technisch ausgefeilteste Bestandteil der umfassenderen Betrugslandschaft, doch parallel dazu laufen fünf weitere Betrugsmaschen.

Rund 55 Domains tarnen sich als Streaming-Plattformen und versprechen kostenlose oder exklusive Live-Übertragungen der WM-Spiele. Nach der Zahlung eines vermeintlichen Abonnements werden einige Nutzer auf Webseiten mit browserbasierter Malware weitergeleitet, die weitere Zugangsdaten stiehlt. Die Angreifer kombinieren damit Abo-Betrug und Datendiebstahl in einem zweistufigen Geschäftsmodell.

Rund 56 Domains und zugehörige Telegram-Kanäle verkaufen gefälschte FIFA- und Nationalmannschafts-Fanartikel und zielen dabei vor allem auf lateinamerikanische Märkte ab. Die Opfer geben Kartendaten und persönliche Informationen an und erhalten Waren, die gefälscht, minderwertig oder erst gar nicht versandt werden. Die gesammelten Daten werden an Carding-Marktplätze weiterverkauft.

Etwa 32 Domains betreiben nicht lizenzierte Sportwetten- und Online-Casino-Plattformen unter Verwendung des FIFA-Brandings. Neben der Veruntreuung von Einzahlungen sammeln diese Seiten unter dem Vorwand einer KYC-Identitätsprüfung umfangreiche personenbezogene Daten. Dazu gehören Passkopien, Selfies und Adressnachweise. Die erbeuteten Dokumente werden anschließend auf Dark-Web-Marktplätzen gehandelt und für Identitätsbetrug sowie die betrügerische Eröffnung von Bank- und Finanzkonten missbraucht.

Eine vierte Akteursgruppe stellt im Dark Web Betrugswerkzeuge als Dienstleistung bereit. Dazu gehören Phishing-Kits, automatisierte Ticket-Bots sowie vorgefertigte Angriffsvorlagen. Dieses Geschäftsmodell erleichtert neuen Tätern den Einstieg und erhöht die Widerstandsfähigkeit des kriminellen Ökosystems. Die Abschaltung einzelner Betreiber hat daher nur begrenzte Wirkung, da die verwendeten Werkzeuge von anderen Akteuren problemlos weitergenutzt werden können.

Darüber hinaus nutzen Cyberkriminelle sogenannte Infostealer-Malware, insbesondere die Familien Vidar und Lumma, um Zugangsdaten und weitere sensible Informationen von infizierten Systemen zu stehlen. Die Schadsoftware wird häufig über manipulierte Software-Downloads oder Telegram-Kanäle verbreitet. Dabei gelangen auch FIFA-Zugangsdaten in die Hände der Angreifer. Die Forscher identifizierten rund 130.000 Datensätze mit Bezug zur FIFA. Bereits 2.513 verifizierte FIFA-Konten werden auf Dark-Web-Marktplätzen für fünf bis 50 US-Dollar pro Zugang gehandelt.

Desinformation, Phishing, Betrug und Hackerangriffe

Russische Bedrohungen für die Olympischen Spiele

Umfang der Bedrohung und potenzielle Schäden

Die mehr als 300 aktiven Ghost-Stadium-Domains bilden lediglich die sichtbare Spitze einer deutlich größeren Infrastruktur. Weitere 3.800 Domains wurden bereits registriert und stehen für eine spätere Aktivierung während des Turnierverlaufs bereit.

Besonders lukrativ scheint der Handel mit vermeintlichen Premium- und Hospitality-Tickets zu sein. Auf 79 identifizierten Webseiten werden entsprechende Angebote zu Preisen zwischen 1.500 und über 10.000 US-Dollar beworben. Auf Basis der bisherigen Erkenntnisse schätzen die Forscher, dass allein in diesem Bereich mehr als 47.000 potenzielle Opfer betroffen sein könnten. Der daraus resultierende Schaden wird auf 71 bis 474 Millionen US-Dollar beziffert.

Berücksichtigt man zusätzlich gestohlene Zugangsdaten, Betrug mit regulären Tickets sowie die Weiterverwertung der erbeuteten Daten in anderen kriminellen Aktivitäten, könnte der Gesamtschaden der Kampagne in die Milliarden gehen.

Die bereits aufgebaute Infrastruktur zeigt den hohen Vorbereitungsgrad der Angreifer. Tausende vorbereitete Domains können kurzfristig aktiviert werden. Entsprechend bietet die Phase vor den Hauptspielen der Weltmeisterschaft die größte Chance, die Kampagne frühzeitig zu erkennen und ihre Auswirkungen zu begrenzen.

Micro-Trainings und klare Prozesse erhöhen die Melderate

Phishing-Abwehr gelingt nur vernetzt mit Technik und Verhalten

Die Grenzen isolierter Sicherheitsmaßnahmen

Die Untersuchungen zeigen eine zentrale Schwäche klassischer Betrugsabwehr: Viele Maßnahmen erfolgen isoliert und ohne ausreichenden Informationsaustausch. Wird eine einzelne Phishing-Domain abgeschaltet, bleiben oft Hunderte weitere aktiv. Erkennt ein Finanzinstitut verdächtige Zahlungsströme oder Wallet-Adressen, stehen diese Informationen anderen Beteiligten häufig nicht zeitnah zur Verfügung.

Zahlungsdienstleister, Markeninhaber, Social-Media-Plattformen, Sicherheitsanbieter und Strafverfolgungsbehörden verfügen jeweils über wichtige Puzzleteile. Das vollständige Lagebild entsteht jedoch erst durch die Zusammenführung dieser Informationen.

Die Analyse macht deutlich, dass isolierte Maßnahmen nicht ausreichen. Erfolgreiche Betrugsbekämpfung erfordert eine enge Verzahnung von Digital Risk Protection, Threat Intelligence, Fraud Prevention und Ermittlungsarbeit. Nur wenn Informationen in Echtzeit geteilt und unmittelbar in konkrete Maßnahmen umgesetzt werden, lassen sich komplexe Betrugsnetzwerke wirksam stören und zerschlagen.

Die Kampagne rund um die FIFA-Weltmeisterschaft 2026 ist keine zukünftige Bedrohung, sondern bereits Realität. Die Infrastruktur steht, die Täter sind aktiv und die Zahl potenzieller Opfer geht in die Millionen. Entscheidend wird sein, ob es gelingt, Informationen schnell genug in gemeinsame und wirksame Gegenmaßnahmen zu übersetzen. Nur durch eine koordinierte Zusammenarbeit aller Beteiligten lassen sich Betrugsnetzwerke dieser Größenordnung nachhaltig stören.

Angesichts der Vielzahl betrügerischer Webseiten rät Group-IB dringend dazu, Tickets ausschließlich über die offizielle Plattform fifa.org zu erwerben und Angebote aus sozialen Medien, Suchmaschinenanzeigen oder unbekannten Drittportalen kritisch zu hinterfragen.

Über den Autor: Yuan Huang ist Global Fraud Intelligence Lead bei Group-IB. Er verantwortet die Analyse internationaler Betrugs- und Cybercrime-Aktivitäten und unter­stützt Unter­neh­men sowie Behörden bei der Identifikation und Bekämpfung digitaler Bedrohungen. Group-IB zählt zu den weltweit führenden Anbietern im Bereich Cybercrime-Ermittlung, Threat Intelli­gence und Digital Risk Protection und arbeitet eng mit internationalen Straf­ver­fol­gungs­be­hör­den, darunter INTERPOL und Europol, sowie mit Regierungen und Unternehmen in über 60 Ländern zusammen.

Phishing-Prävention

Die Tricks der Hacker beim Phishing-Betrug

(ID:50867464)