W3LL-Phishing-Kit: Internationaler Schlag gegen Cyberkriminelle

Die Plattform soll für Betrugsversuche in Höhe von über 20 Millionen Euro verantwortlich sein.

Unter Führung des US-amerikanischen FBI und der indonesischen Polizei gelang es, den mutmaßlichen Entwickler der Software festzunehmen und zentrale Domains zu beschlagnahmen. Die Aktion markiert die erste große, koordinierte Operation zwischen den USA und Indonesien gegen einen Entwickler solcher Phishing-Werkzeuge.

Rekord-Schäden durch Phishing zeigen, wie professionell Hacker heute vorgehen und selbst erfahrene Nutzer täuschen. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam schützen kann. Experten-Leitfaden zur Phishing-Abwehr gratis herunterladen

Vollständiges Ökosystem für Cyberkriminalität demontiert

Im Zentrum der Ermittlungen stand ein Entwickler mit den Initialen G.L., der in Indonesien gefasst wurde. Die Behörden beschlagnahmten mehrere Domains, die das Rückgrat des W3LL-Dienstes bildeten. Zudem wurde der dazugehörige W3LLSTORE abgeschaltet – ein Untergrundmarktplatz für gestohlene Zugangsdaten und Netzwerkzugänge.

Die Plattform war laut Ermittlern jahrdelang äußerst aktiv. Zwischen 2019 und 2023 sollen über 25.000 kompromittierte Konten über den Marktplatz verkauft worden sein. Das FBI beschreibt W3LL nicht als einfaches Werkzeug, sondern als vollständiges Cybercrime-Ökosystem. Es bot alles vom Angriffsvektor bis zur Vermarktung der gestohlenen Daten an.

So umging das Kit selbst Zwei-Faktor-Authentifizierung

Die Beliebtheit von W3LL im kriminellen Untergrund basierte auf seiner Fähigkeit, auch erweiterte Sicherheitsprotokolle wie die Zwei-Faktor-Authentifizierung (2FA) zu umgehen. Für etwa 500 Euro konnten Nutzer eine Lizenz erwerben, um täuschend echte Login-Portale großer Banken, Tech-Firmen und Dienstleister nachzubauen.

Der technische Clou: Das Kit nutzte Adversary-in-the-Middle-Techniken. Dabei leitet es die Verbindung des Opfers in Echtzeit über den Angreifer um. Gibt das Opfer seine Zugangsdaten und den 2FA-Code auf der gefälschten Seite ein, fängt das Kit das Sitzungstoken ab. Der Angreifer kann sich so dauerhaft in das Konto einloggen, ohne den 2FA-Schutz erneut überwinden zu müssen.

Diese einfache Bedienbarkeit senkte die Einstiegshürde für Cyberkriminelle erheblich. Unerfahrene Akteure konnten so groß angelegte Angriffe starten, die früher tiefes technisches Know-how erfordert hätten.

Cyber-Betrug verursacht Rekordschäden

Die Zerschlagung von W3LL erfolgt vor dem Hintergrund explodierender Schäden durch Online-Betrug. Nach Angaben des FBI beliefen sich die gemeldeten Verluste durch Cyber-Kriminalität 2025 auf 20,877 Milliarden US-Dollar – ein Anstieg von 26 Prozent im Vergleich zum Vorjahr. Allein auf Betrug entfielen etwa 17,7 Milliarden Dollar.

Die internationale Strafverfolgung reagiert mit einer Serie von Schlägen gegen die Infrastruktur. Neben W3LL wurden in diesem Frühjahr bereits die Plattform Leakbase und der russische Marktplatz RAMP ausgehoben. Diese Aktionen zielen gezielt auf die „as-a-Service“-Angebote ab, die die moderne kriminelle Ökonomie antreiben.

Da herkömmliche Passwörter und sogar einfache 2FA-Codes oft nicht mehr ausreichen, gewinnt der Schutz digitaler Konten massiv an Bedeutung. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Amazon, Microsoft und WhatsApp sofort einrichten, um Phishing komplett zu verhindern. Kostenlosen Passkey-Ratgeber jetzt anfordern

Was bedeutet das für Unternehmen und Nutzer?

Die Entfernung von W3LL vom Markt dürfte IT-Sicherheitsteams, besonders in Microsoft 365-Umgebungen, eine vorübergehende Atempause verschaffen. Branchenbeobachter erwarten jedoch, dass konkurrierende Dienste wie Tycoon 2FA die Lücke schnell füllen werden.

Der Erfolg der US-indonesischen Operation unterstreicht die Notwendigkeit internationaler Zusammenarbeit. Cybersicherheitsexperten betonen, dass technische Blockaden und 2FA allein nicht ausreichen, um sich gegen solche ausgeklügelten Angriffe zu schützen. Sie raten Unternehmen zunehmend zu phishing-resistenten Authentifizierungsmethoden wie FIDO2-konformen Sicherheitsschlüsseln.

Die Ermittlungen laufen weiter. Tausende Käufer des Kits oder Nutzer des W3LLSTORE stehen unter Beobachtung. Die Behörden analysieren derzeit beschlagnahmte Serverdaten, um die aktivsten Nutzer und die konkret betroffenen Organisationen zu identifizieren. Weitere Festnahmen sind möglich.

de | boerse | 69149782 |