Eine Änderungsanforderung für eine Zahlung von einer Lookalike-Adresse
Am 6. August 2024 meldete INTERPOL einen E-Mail-Identitätsbetrug, der ein Singapurer Rohstoffunternehmen zum Ziel hatte. Am 15. Juli erhielt das Unternehmen eine angebliche E-Mail eines Lieferanten, in der darum gebeten wurde, eine ausstehende Zahlung auf ein neues Konto in Timor-Leste zu überweisen. INTERPOL sagte, die betrügerische E-Mail-Adresse sei leicht anders geschrieben als die offizielle Adresse des Lieferanten.
Das Unternehmen überwies am 19. Juli 42,3 Millionen Dollar und entdeckte das Problem vier Tage später, als der eigentliche Lieferant mitteilte, die Zahlung nicht erhalten zu haben. Der Bericht veröffentlicht die Adresse nicht und gibt auch nicht an, ob der Unterschied im lokalen Teil, der Domain oder beidem lag. Daher rechtfertigt er die Nennung einer bestimmten betrügerischen Domain nicht.
Grenzüberschreitende Intervention und gemeldete Festnahmen
Nach einem Polizeibericht vom 23. Juli ersuchten die Behörden Singapurs Unterstützung über den Global Rapid Intervention of Payments (I-GRIP) Mechanismus von INTERPOL. Die Mitteilung besagt, dass 39 Millionen US-Dollar auf dem Zielkonto entdeckt und zurückgehalten wurden und dass weitere Ermittlungen zur Wiedererlangung von mehr als 2 Millionen US-Dollar führten.
INTERPOL meldete sieben Verhaftungen und erklärte, dass Schritte unternommen würden, um die gestohlenen Gelder zurückzuerstatten. Abfangen und Wiederherstellung sind nicht dasselbe wie eine abgeschlossene Rückerstattung. Verhaftungen sind keine Verurteilungen; dieser Artikel gibt nur den im zitierten Bericht beschriebenen Status wieder.
Forensische Lektionen: ein kleiner Adressunterschied kann von Bedeutung sein
Verifizieren Sie Änderungen von Bankdaten über die zuvor bekannten Kontaktdaten des Lieferanten. Vergleichen Sie die tatsächliche E-Mail-Adresse, nicht nur den Anzeigenamen. Bewahren Sie die Nachricht, Rechnung, Original-Header und Zahlungsbelege zusammen auf, damit die Autorisierung und Zieländerungen überprüft werden können.
DNS- und Registrierungsdaten können hilfreich sein, wenn eine Lookalike-Domain tatsächlich identifiziert wird. Hier wurden keine Domain-Indikatoren offengelegt. Die Lehre daraus ist ein Verifikations-Workflow und eine sorgfältige Beweissicherung, nicht die Behauptung, dass der öffentliche Bericht Typosquatting bewiesen oder die Infrastruktur des Angreifers offengelegt hat.
Primärquelle
Den offiziellen INTERPOL-Bericht lesenDiese Überprüfung fasst den zitierten öffentlichen Bericht zusammen. Das ursprüngliche Quelldatum wird separat vom Veröffentlichungsdatum dieser Überprüfung angezeigt. Nachfolgende Verfahren oder Wiederherstellungen wurden hier nicht verifiziert.