Gefälschte Airline-Hotlines verbreiten sich über vertrauenswürdige Websites und KI-Antworten

Eine Kampagne, die auf die Suche nach Hilfe zielt

Laut Check Point greifen Reisende bei einem gestrichenen Flug, einem verpassten Anschluss oder einer verzögerten Erstattung oft zu Suchmaschinen, sozialen Medien oder KI-Tools, um eine Support-Nummer zu finden. Genau diesen Moment der Dringlichkeit nutzen Angreifer nach Angaben der Forscher aus.

Die neuen Erkenntnisse knüpfen an eine frühere Untersuchung von Check Point an, die unter dem Titel Scammers Are Watching Airline Complaints and Posing as Customer Support beschrieb, wie Betrüger Beschwerden über Fluggesellschaften in sozialen Medien beobachten und sich als Support-Mitarbeiter ausgeben. Die aktuelle Kampagne setzt früher an: bei der Suche nach Hilfe selbst. Check Point zufolge erzeugen Angreifer massenhaft betrügerische Support-PDFs und Beiträge, hosten sie auf vertrauenswürdigen Websites und verbreiten dieselben Telefonnummern in sozialen Medien und KI-generierten Antworten. Zu den nachgeahmten Marken zählen große Fluggesellschaften, Reisebüros und Verkehrsunternehmen.

Wie vertrauenswürdige Websites zum Teil des Betrugs werden

Die Forscher beobachteten Webformulare von Universitäten, Bewerbungsportale, Systeme zur Einreichung von Dokumenten bei Behörden und weitere öffentliche Formulare, die Dateien annehmen und über öffentliche URLs zugänglich machen. Sobald ein betrügerisches PDF hochgeladen ist, kann es von der vertrauenswürdigen Domain der Organisation ausgeliefert und von Suchmaschinen indexiert werden.

Check Point identifizierte öffentliche Upload-Pfade, die mit Drupal-Webformularen, WordPress-Formular-Plugins, Optimizely und individuell entwickelten Behördenportalen verknüpft sind. Da PDFs bei vielen dieser Formulare ein erwarteter Dateityp sind, können die Dokumente die übliche Dateivalidierung passieren. Zu den Beispielen im Bericht zählen betrügerische PDFs, die auf der Website des Generalkonsulats der Republik Moldau in Chicago indexiert waren, sowie eines, das über ein Behördenportal des US-Bundesstaats Utah ausgeliefert wurde.

Die Nummern gelangten auch in Instagram-Anzeigen und auf Facebook-Seiten. Sie tauchten in Facebook-Suchzusammenfassungen mit dem Hinweis „Summarized by Meta AI“ auf, und Suchen zum Kundenservice von Booking.com lieferten KI-generierte Antworten mit betrügerischen Kontaktnummern. Check Point zufolge scheint die Kampagne darauf ausgelegt, neben der klassischen Suche auch Answer Engine Optimization (AEO) und Generative Engine Optimization (GEO) zu beeinflussen, und zwar mit Titeln in Frageform, wiederholten Telefonnummern, stichwortlastigen Texten und seriösen Domains.

Fünf Phasen, und warum Scanner nichts finden

Die Forscher gliedern die Operation in fünf Phasen:

• Herstellung: Stichwortlastige „How to contact [Marke]“-Anleitungen werden aus gemeinsamen Vorlagen massenhaft erzeugt, wobei Markennamen und Nummern ausgetauscht werden.
• Aussaat: PDFs und Beiträge werden über Drittseiten und Plattformen gestreut, die öffentliche Inhalte akzeptieren.
• Indexierung: Suchmaschinen, KI-Antwortsysteme und Plattform-Zusammenfassungen übernehmen die Inhalte und profitieren dabei von der Autorität der Host-Domain.
• Abfangen: Ein Reisender mit einem dringenden Problem findet die Nummer und ruft an.
• Monetarisierung: Der Anrufer wird möglicherweise unter Druck gesetzt, betrügerische Gebühren zu zahlen oder Buchungs- und Zahlungsdaten preiszugeben, womöglich per Geschenkkarte, Überweisung, Peer-to-Peer-Zahlung oder Kryptowährung.

Check Point prüfte bestätigte Kampagnendateien erneut mit je 61 bis 64 Virenscan-Engines pro Scan, keine schlug an. Die PDFs enthalten keinen Exploit-Code, keine schädlichen Makros, keine eingebetteten Payloads und kein verdächtiges ausführbares Verhalten. Die Gefahr liegt in den dargebotenen Informationen und den Vertrauenssignalen, die sie ausnutzen.

Nach Angaben der Forscher zeigt die Operation zudem Anzeichen zunehmender Automatisierung: Sie beobachteten gemeinsame Vorlagen, im Sekundenabstand erzeugte Dateien und hochzählende Zähler. Binnen sieben Wochen wechselte der Workflow von Google-Docs-Exporten zu skriptgesteuerter Erzeugung und einer eigens entwickelten Automatisierungsanwendung.

Was Marken, Organisationen und Reisende tun können

Check Point rät Reisemarken, Suchergebnisse, soziale Plattformen, Dateiablagen und KI-generierte Antworten fortlaufend auf betrügerische Support-Angaben mit ihrem Namen zu überwachen und verifizierte Support-Kanäle auf offiziellen Websites, in Apps und in Buchungsmitteilungen leicht auffindbar zu machen.

Organisationen, die öffentliche Uploads zulassen, sollten Authentifizierung und Moderation in Betracht ziehen, hochgeladene Dateien aus durchsuchbaren Verzeichnissen heraushalten, temporäre Upload-Pfade überprüfen und öffentlich zugängliche Speicher regelmäßig auditieren.

Reisende sollten Support-Nummern ausschließlich von der offiziellen Website, der mobilen App oder der Buchungsbestätigung der Marke beziehen. Aufforderungen zur Preisgabe von Zahlungsdaten, Gebühren für die Freigabe einer Erstattung, Geschenkkarten, Kryptowährung, Fernzugriffssoftware oder dringende Überweisungen sind als Warnsignale zu werten. Check Point zufolge war die Kampagne zum Zeitpunkt der Untersuchung noch aktiv und wird weiter beobachtet.