Gefälschte Portale für Geschenkkarten lenken Nutzer zu Umfragen, unerwünschten Downloads und kostenpflichtigen Mobilfunkabos, liefern die versprochene Belohnung aber nie, wie CTM360 mitteilt. In einem gesponserten Artikel, der bei BleepingComputer veröffentlicht wurde, berichtete das Unternehmen am 7. November 2026 über mehr als 1.000 Vorfälle im Zusammenhang mit der wiederkehrenden Kampagne. Zu den Folgen zählen die Offenlegung persönlicher Daten und unerwartete Telefonkosten.
Die Aktivität gibt sich als Marken wie PlayStation, Sephora, SHEIN, Walmart und Amazon aus. CTM360 beschreibt die Betrugsmaschen als weltweit zunehmend. Sie verbreiten sich über gesponserte Social-Media-Anzeigen, virale Gewinnspiel-Beiträge und erfundene Empfehlungen von Prominenten und Influencern wie MrBeast und Alix Earle. Die genannte Gesamtzahl zählt Vorfälle, nicht betroffene Personen.
Für Verbraucher ist der Köder eine kostenlose Belohnung von einem bekannten Namen. Für die imitierten Unternehmen missbraucht die Kampagne ihre Markenidentität, damit umsatzbringende Angebote vertrauenswürdig wirken.
Eine Belohnung, die unerreichbar bleibt
Eine betrügerische Anzeige führt den Nutzer zu einem gefälschten Belohnungsportal, das kopierte Markenlogos und Farben verwendet. Gefälschte Teilnehmerzahlen, Countdown-Timer und Erfahrungsberichte angeblich kürzlicher Gewinner erzeugen den Eindruck einer laufenden Aktion.
Nachdem der Nutzer einen Geschenkkartenwert ausgewählt hat, simuliert eine skriptgesteuerte Fortschrittsanimation die Erstellung der Karte. Danach zeigt die Seite einen teilweise verborgenen Code wie XXXX-XXXX-7F3A-XXXX, der suggeriert, dass die Belohnung bereitliegt und nur noch ein Schritt fehlt.
Dieser Schritt trägt die Bezeichnung „Security Check“ oder „Human Verification“. CTM360 nennt diese Stufe „Trap 10“: Statt zu prüfen, ob der Besucher ein Mensch ist, schickt die Seite ihn zu Drittanbieter-Aktivitäten, mit denen die Betreiber Geld verdienen.
Dazu gehören Umfragen, Quizze und Werbeangebote, die Installation unerwünschter Anwendungen oder Browser-Erweiterungen sowie kostenpflichtige Mobilfunkabos, die über lokale Carrier-Billing-Systeme abgerechnet werden und die Gebühren auf die Handyrechnung buchen. Das Abschließen einer Aktion schaltet die Karte nicht frei. Das Portal markiert die Aufgabe als unvollständig und leitet den Nutzer zu einem weiteren Angebot weiter. CTM360 zufolge hat keiner der getesteten Abläufe eine Belohnung ausgeliefert.
Wie die Betreiber Geld verdienen
CTM360 beschreibt ein Provisionsmodell im Affiliate-Marketing, das auf einer großen Zahl von Besuchern beruht, die Angebote abschließen. Anders als klassisches Phishing, das auf den Diebstahl von Zugangsdaten abzielt, monetarisieren diese Abläufe Registrierungen, Downloads und Abos und sammeln zugleich persönliche Daten.
Die Forscher beobachteten Weiterleitungen über Affiliate-Tracking-URLs mit Parametern wie offer_id und aff_id. Diese Kennungen verknüpfen die Registrierung eines Besuchers mit dem Affiliate-Konto des Betreibers. Gibt ein Nutzer eine Mobilnummer ein und bestätigt er für ein Abo die PIN oder ein Einmalpasswort, erhält der Betreiber eine Provision.
Die zugrunde liegende Infrastruktur ist modular aufgebaut. Betreiber können die imitierte Marke, den Prominenten-Köder oder die Domain austauschen, ohne den Kern des Betrugs neu zu bauen. Dadurch lässt sich dieselbe Abfolge für verschiedene Aktionen wiederverwenden.
Die praktische Folge zeigt sich an der vermeintlichen Verifizierungshürde: Wer eine Telefonnummer eingibt und einen Code bestätigt, kann ein kostenpflichtiges Abo abschließen, statt eine Geschenkkarte zu erhalten. CTM360 nennt unerwartete Mobilfunkkosten, offengelegte persönliche Daten und mehr Spam als daraus resultierende Risiken.
