Mobile-Menu

FIFA WM 2026 im Visier von Cyberkriminellen Geklonte FIFA-Seiten, Banking-Trojaner und Stealer-Logs bedrohen WM-Fans

Von Thomas Joos 4 min Lesedauer

Rund um die Fußball-WM 2026 läuft eine breit aufgestellte Betrugs­infra­struk­tur. Geklonte FIFA-Seiten übernehmen Konten, Banking-Trojaner verstecken sich in illegalen Streaming-Apps, gestohlene Zugangsdaten kursieren bereits in Stealer-Logs. FBI und Sicherheitsforscher sind alar­miert, das Zeitfenster für Angriffe reicht bis zum Schlusspfiff am Finaltag.

Zur FIFA WM 2026 läuft eine Betrugsinfrastruktur aus geklonten Login-Seiten, Banking-Trojanern und Stealer-Logs. FBI und Sicherheitsforscher warnen vor dem aktiven Angriffsfenster.(Bild: © Md - stock.adobe.com)
Zur FIFA WM 2026 läuft eine Betrugsinfrastruktur aus geklonten Login-Seiten, Banking-Trojanern und Stealer-Logs. FBI und Sicherheitsforscher warnen vor dem aktiven Angriffsfenster.
(Bild: © Md - stock.adobe.com)

Sicherheitsforscher und das FBI warnen vor einer Betrugswelle, die Fans der Fußball-WM 2026 bereits vor dem Anpfiff angegriffen hatte. Tausende nachgeahmte FIFA-Domains, präparierte Streaming-Apps mit Banking-Schadcode und mindestens eine Operation mit einer über­zeu­gend kopierten Anmeldeseite bilden ein abgestimmtes Vorgehen. Das Turnier in den USA, Mexiko und Kanada zieht über sechs Millionen Besucher in 16 Städte, und FIFA verzeichnete in den ersten 15 Tagen mehr als 150 Millionen Ticketanfragen. Damit ist das Turnier rund dreißigfach überzeichnet, was Knappheit, Zeitdruck und schnelle Zahlungen erzeugt.

Geklonte Anmeldeseite übernimmt FIFA-Konten

Die ausführlichsten Erkenntnisse stammen von Group-IB. Das Unternehmen verfolgt seit August 2025 mehr als 4.300 betrügerische FIFA-Domains. Im Zentrum steht eine finanziell motivierte, chinesischsprachige Operation, die Group-IB als Ghost-Stadium bezeichnet. Ein einzelnes Phishing-Kit läuft über mehr als 300 dieser Seiten.

Die Fälschung kopiert fifa.com nahezu vollständig und ahmt das echte Single Sign-on nach, das PingIdentity betreibt. Die Angreifer übernehmen sogar die originale Client-ID der Live-Seite. Die Bilder lädt die Phishing-Seite direkt von den FIFA-Servern, womit sie authentisch wirkt und Erkennungsmechanismen für kopierte Grafiken umgeht. Eine zusätzliche Funktion verursacht den größten Schaden. Die Seite fordert auch zum Zurücksetzen des Passworts auf. Nach Eingabe der Daten sperrt der Angreifer das Opfer aus dem eigenen FIFA-Konto aus und verkauft die zugehörigen Tickets weiter.

Den Großteil des Traffics liefern Facebook-Anzeigen mit identischen Tracking-Codes über den gesamten Cluster, dazu Verweise auf Telegram, WhatsApp und in Suchergebnissen. Die Bezahlung läuft über fünf Wege. Dazu zählen direkte Karteneingabe, externe Payment-Gateways, Geldtransfer-Apps (Chime und Nequi), auf Mexiko beschränkte Prozessoren und eine Krypto-Option, die eine Kartenzahlung in Kryptowährung umwandelt und eine Rückbuchung erschwert. Die offizielle FIFA-Ticketing-Plattform akzeptiert keine Kryptowährung, daher ist ein solcher Zahlungsweg ein deutliches Warnsignal. Group-IB beziffert allein den Schaden aus dem Betrug mit Premium- und Hospitality-Tickets auf 71 bis 474 Millionen US-Dollar und hält eine Gesamtsumme im Milliardenbereich für möglich. Die Angaben beruhen auf der sichtbaren Infrastruktur und sind keine bestätigten Verluste.

Tausende Domains und gestaffelte Maschen

Group-IB bleibt nicht die einzige Quelle. FortiGuard Labs zählte zwischen Januar und Mai mehr als 13.000 WM-bezogene Domains, von denen rund 8,8 Prozent bösartig oder verdächtig sind. Die FBI-Warnung listet Dutzende gefälschte FIFA-Domains, von falsch geschriebenen Nachahmungen bis zu unechten FIFA-Karriereseiten.

Der Ticketbetrug bildet nur einen Teil. Group-IB fand zusätzlich Shops mit gefälschten Fanartikeln, Streaming-Seiten, die eine Abo-Gebühr kassieren und danach Schadcode mit Fernsteuerung installieren, sowie Wett-Seiten, die Passfotos und Selfies für Identitätsdiebstahl sammeln. Bitdefender dokumentierte separat FIFA-Lotterie-Mails mit versprochenen Auszahlungen bis zu zwei Millionen US-Dollar. Ein Markt für Phishing-as-a-Service verkauft fertige Betrugskits und Ticketkauf-Bots. Die Abschaltung eines einzelnen Betreibers zeigt dadurch kaum Wirkung.

Banking-Trojaner in inoffiziellen Streaming-Apps

Für Fans auf der Suche nach kostenlosen Übertragungen liegt die größere Gefahr auf dem Smartphone. ThreatFabric registrierte rund um das jüngste Champions-League-Finale einen Anstieg bösartiger inoffizieller Streaming-Apps, viele davon als Nachahmung der bekannten Anwendung RojaDirecta, und rechnet zur WM mit einer Wiederholung in größerem Umfang.

Kaspersky verband diese Apps mit Android-Banking-Trojanern und benannte zwei Familien, Massiv und Perseus. Die Apps stehen nicht im Google Play Store, eine Installation setzt also das Wegklicken der Schutzhinweise voraus. Nach der Installation nutzt der Schadcode die Bedienungshilfen von Android und übernimmt das Gerät. Er legt gefälschte Bank-Anmeldemasken über echte Apps, protokolliert Eingaben, fängt Einmalcodes aus SMS und Authenticator-Apps ab und steuert den Bildschirm aus der Ferne. Perseus baut auf dem geleakten Code des älteren Trojaners Cerberus auf und durchsucht zusätzlich Notiz-Apps nach gespeicherten Passwörtern und Krypto-Wiederherstellungsphrasen. Ein deutliches Warnsignal ist eine Streaming-App, die Zugriff auf die Bedienungshilfen verlangt, denn dafür gibt es keinen legitimen Grund.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Gestohlene Zugangsdaten und Risiken für IT-Teams

Gestohlene FIFA-Zugangsdaten kursieren bereits. Fortinet fand über 270.000 Nutzer-Logins sowie mehr als 4.600 FIFA-Webadressen in Stealer-Logs, darunter Vidar, LummaC2 und RedLine. Auch die WLANs in den Gastgeberstädten bilden ein Problem. Eine Kaspersky-Erhebung in Mexiko-Stadt, Monterrey und Guadalajara fand rund 17 Prozent unsichere offene Zugangspunkte, bei fast der Hälfte der gesicherten Netze zudem aktives WPS-Pairing. Beide Lücken erleichtern Evil-Twin-Hotspots, die ein echtes Netz nachbilden und den Datenverkehr mitlesen.

Sicherheitsteams sollten neue FIFA-bezogene Domains und nachgeahmte Login-Seiten überwachen, Mitarbeiter- und Kundenkonten prüfen, die in den genannten Stealer-Logs auftauchen, und die Betrugsabteilung auf Spitzen bei Ticket- und Rückbuchungsfällen bis Mitte Juli vorbereiten. Meta reagiert ebenfalls. Der Konzern zeigt inzwischen Warnhinweise, sobald Nutzer auf Facebook nach FIFA-Tickets suchen, und schaltete gemeinsam mit Visa ein Facebook-Netzwerk ab, das über gefälschte WM-Seiten betrügerisches Glücksspiel bewarb. Das FBI bittet Geschädigte um eine Meldung über IC3.

Fazit

Rund um die Fußball-WM 2026 läuft eine arbeitsteilige Betrugsinfrastruktur aus geklonten Domains, Banking-Trojanern und gehandelten Zugangsdaten. Group-IB zählt rund 3.800 weitere betrügerische FIFA-Domains, die geparkt und bereit zur Aktivierung bleiben. Das aktive Zeitfenster reicht vom 11.06.2026 bis zum 19.07.2026, wenn die Suche nach Tickets, Streams und Reisen ihren Höhepunkt erreicht.

(ID:50865034)

Weiterführende Inhalte