iPhone-Nutzer werden Opfer einer neuen Betrugsmasche, bei der gefälschte Apple Pay-Benachrichtigungen verwendet werden, um sie zu täuschen.
Tech-Support-Betrugsmaschen, bei denen gefälschte Warnungen verwendet werden, um Opfer zum Anrufen einer Telefonnummer zu verleiten, gibt es schon seit Jahren, aber diese Seite wurde speziell für Telefone entwickelt.
Statt einer Warnmeldung auf dem Desktop, die behauptet, Ihr Computer sei mit einem Virus infiziert, imitiert der Betrug bekannte iPhone-Funktionen wie Apple Pay, Face ID und Zahlungen im App Store. Er nutzt sogar die Text-to-Speech-Funktion des Telefons und versucht, die mobile Navigation zu stören.
Was geschieht
Auf Ihrem Smartphone öffnet sich eine Seite, die anzeigt, dass Apple Pay eine App-Store-Zahlung in Höhe von 657 $ verarbeitet. Ein Ladekreis dreht sich. Unter dem Betrag erscheint „Face ID · Identität wird verifiziert“. Es werden eine Transaktions-ID, ein Vorhängeschloss und alle anderen visuellen Hinweise auf eine laufende Zahlung angezeigt.
Wenige Sekunden später ändert sich die Geschichte.
Ihre Apple-ID ist angeblich wegen einer unbekannten Anmeldung gesperrt. Unter der Aufforderung, sich umgehend an den Apple Support zu wenden, wird eine Telefonnummer angezeigt. Wenn Sie die Transaktionsdetails öffnen, ist die Zahlung als „Abgeschlossen“ markiert. Anschließend erhalten Sie eine Warnmeldung über die unberechtigte Abbuchung.
Das ist alarmierend. Außerdem ist es komplett erfunden.
Die von uns analysierte Seite enthält keine echte Apple-Pay-Transaktion und keine biometrische Verifizierung. Stattdessen werden fest codierte Zahlungsdaten, vom Browser generierte Sprachausgabe, gefälschte Sicherheitswarnungen und aggressive Navigationstricks verwendet, um das Opfer dazu zu bringen, den Betrüger anzurufen.
Die „Face ID“-Prüfung ist nicht echt.
Der erste Bildschirm ist so gestaltet, dass es den Anschein erweckt, als ob das Telefon selbst eine Zahlung autorisiert.
In diesem Beispiel ist „Face ID · Identitätsprüfung“ lediglich ein HTML-Element, das neben einem Symbol angezeigt wird. Es findet keine Apple-Pay-Anfrage und kein biometrischer Authentifizierungsaufruf statt.
Apple Pay kann auf Webseiten rechtmäßig genutzt werden, eine echte Zahlung beginnt jedoch erst, wenn der Händler sie anfordert. Das System zeigt dem Nutzer dann umgehend eine Zahlungsbestätigung zur Überprüfung und Authentifizierung an, wie es die Apple-Richtlinien vorschreiben.
So etwas passiert hier nicht. Die Betrugsseite hat einfach ihre eigene Nachahmung hervorgerufen.
Der Ladekreis „Zahlung wird verarbeitet“ ist rein kosmetischer Natur. Der gesamte Startbildschirm verschwindet nach 2,8 Sekunden automatisch, unabhängig von den Aktionen des Nutzers.
Die Quittung ist gefälscht, und der Code ist für alle derselbe.
Der nächste Bildschirm ist als Transaktionsbeleg gestaltet. Er enthält einen Betrag, maskierte Kartenziffern, einen Autorisierungscode, eine Transaktions-ID und den grünen Status „Abgeschlossen“.
Die meisten dieser Werte ändern sich nie.
Das liegt daran, dass die Seite den Betrag fest mit 657,00 $ codiert, die Transaktions-ID lautet: AP-2026-08-03-14:32und der Autorisierungscode als AUTH-8F3A2B1CJedem Besucher werden die gleichen Werte angezeigt.
Das Datum wird jedoch dynamisch generiert.
JavaScript-Aufrufe new Date() und formatiert es mit toLocaleString()Das bedeutet, dass für den Beleg das aktuelle Datum, die aktuelle Uhrzeit und die aktuelle Zeitzone des Geräts des Opfers verwendet werden.
Das führt zu einem offensichtlichen Widerspruch. Die feste Transaktions-ID enthält 2026-08-03Das Datumsfeld zeigt hingegen die Uhrzeit und das Datum an, zu dem das Opfer die Seite öffnet.
Bei einer echten Transaktion wird das Transaktionsdatum nicht jedes Mal geändert, wenn jemand sie ansieht.
Der „Sprachalarm“ wird vom Browser generiert.
Sobald das Opfer die Transaktionsdetails öffnet, versucht die Seite zu sprechen:
„Unberechtigte Abbuchung von 657 US-Dollar von Ihrer Apple-ID. Bitte kontaktieren Sie umgehend den Support.“
Es liegt keine aufgezeichnete Apple-Nachricht dahinter.
Das JavaScript erstellt ein SpeechSynthesisUtterance und sendet es an window.speechSynthesis, die im Browser integrierte Web Speech API, um die Warnung laut vorzulesen.
Die Verwendung einer bereits auf dem Gerät des Opfers vorhandenen Text-to-Speech-Funktion ist ein cleverer Social-Engineering-Trick. Die Warnung klingt dadurch eher wie ein Bestandteil des Telefons selbst als wie eine Audioausgabe von einer beliebigen Website.
Die Seite versucht, das Verlassen zu erschweren.
Ein interessanter Aspekt dieses Betrugs ist der Code, der die Ausstiegswege umgibt.
Die Seite fügt einen neuen Browserverlaufseintrag hinzu und überwacht bestimmte Ereignisse. popstateDadurch kann die Seite reagieren, wenn ein Opfer versucht, zurückzunavigieren. Anschließend wird eine Warnung angezeigt, die darauf hinweist, dass das Schließen der Seite die Zahlungs- und Bankdaten des Opfers offenlegen könnte.
Wenn das Opfer die Aufforderung zum Anruf beim Support akzeptiert, navigiert der Code zu einem tel: Die URL enthält die Betrugsnummer. Wenn der Nutzer diese Aufforderung abbricht, erscheint eine weitere Warnung und ein weiterer Eintrag im Verlauf wird hinzugefügt.
Die Seite registriert auch Handler für beforeunload, pagehide, das Kontextmenü, eine Wischgeste vom Bildschirmrand und gängige Tastaturkürzel zur Navigation. iOS , es ist pagehide Der Handler unternimmt sogar einen verzögerten Versuch, direkt zur Telefonnummer zu navigieren.
Diese Tricks können dazu führen, dass die Seite hartnäckig und lästig wird, aber sie sperren weder den Browser noch das Gerät. Moderne Browser schränken die Aktionen von Websites während der Navigation ein. Zum Beispiel: beforeunload wird auf Mobilgeräten nicht zuverlässig ausgelöst, erfordert in der Regel eine vorherige Benutzerinteraktion und kann nur eine generische, browsergesteuerte Bestätigung erzeugen.
Mit anderen Worten: Der Code versucht auf verschiedene Weise, Sie am Verlassen der Seite zu hindern oder Sie zum Anrufen zu bewegen, kann aber nicht die Kontrolle über den Browser selbst übernehmen.
Das Telefongespräch ist das eigentliche Ziel.
Die Gebühr von 657 Dollar ist ein Köder, um Sie ans Telefon zu bekommen.
Die Supportnummer ist prominent auf der Seite platziert, der rote Button „Jetzt verifizieren“ zeigt darauf, und die gefälschten Sicherheitsaufforderungen bieten wiederholt an, diese Nummer anzurufen.
Dies ist eine gängige Masche von Betrügern im Bereich des technischen Supports. Die FTC warnt davor, dass Betrüger gefälschte Zahlungsaufforderungen verwenden, um Opfer zum Anrufen zu bewegen. Anschließend fordern sie möglicherweise Fernzugriff oder setzen die Opfer unter Druck, Geld per Geschenkgutschein, Banküberweisung, Kryptowährung oder Zahlungs-Apps zu senden.
Apple warnt außerdem davor, dass Betrüger behaupten könnten, jemand habe sich Zugang zu Ihrem Apple-Konto verschafft oder unautorisierte Apple Pay-Abbuchungen vorgenommen, und dabei Dringlichkeit vortäuschen, um Sie davon abzuhalten, sich selbstständig an Apple zu wenden.
Was tun, wenn Sie eine Seite wie diese sehen?
Rufen Sie nicht die auf der Seite angegebene Nummer an. Es handelt sich nicht um echte Sperren – die Seite hat weder Ihr Telefon noch Ihren Browser übernommen.
- Tippen Sie in keinem der Dialogfelder auf „OK“, „Anrufen“ oder „Bestätigen“. In jedem Dialogfeld, das Ihnen eine Auswahlmöglichkeit bietet, wählt „OK“ die Nummer. Dialogfelder, die nur „OK“ anbieten, wählen die Nummer nicht; wenn Sie diese schließen, erhalten Sie lediglich eine weitere Warnung.
- Wählen Sie diese Nummer nicht und rufen Sie später auch nicht zurück, um sich zu beschweren oder nachzufragen. Betrüger brauchen überhaupt erst den Kontakt zu ihnen.
- Schließen Sie den Tab über die Tab-Übersicht Ihres Browsers. Auf dem iPhone oder Android Öffnen Sie den Tab-Wechsler und wischen Sie den Tab weg. Sobald der Tab geschlossen ist, kann die Betrugsseite Sie nicht mehr dort festhalten oder versuchen, Sie anzurufen.
- Wenn ein Dialogfeld erscheint, in dem Sie gefragt werden, ob Sie die Seite verlassen möchten, wählen Sie „Verlassen“. Webseiten können Sie zwar zum Bleiben auffordern, aber sie können Sie nicht am Verlassen der Seite hindern.
- Überprüfen Sie anschließend Ihre tatsächliche Kaufhistorie. Öffnen Sie den App Store oder die Einstellungen auf Ihrem Gerät und sehen Sie sich Ihre Apple-Kaufhistorie an. Wenn dort keine Abbuchung von 657 $ angezeigt wird, wurde diese auch nie vorgenommen.
Wenn Sie bereits jemanden angerufen und ihm Fernzugriff auf Ihr Gerät gewährt haben, handeln Sie sofort:
- Trenne die Internetverbindung
- Deinstallieren Sie jegliche Fernzugriffssoftware, die Ihnen auferlegt wurde.
- Ändern Sie Ihr Apple-ID-Passwort und Ihre Bankpasswörter von einem anderen Gerät aus.
- Bitte wenden Sie sich bezüglich aller von Ihnen getätigten Zahlungen an Ihre Bank.
Wenn also eine solche Nummer auf Ihrem Bildschirm erscheint oder sich bereits in Ihrer Anrufliste befindet, überprüfen Sie sie, bevor Sie irgendetwas anderes tun.
Malwarebytes Scam Number Check ist eine kostenlose Rückwärtssuche, die Ihnen mitteilt, ob eine Nummer mit betrügerischen Aktivitäten in Verbindung gebracht wurde.
Am besten rufen Sie die Seite gar nicht erst auf. Malwarebytes Browser Guard blockiert schädliche und betrügerische Websites, bevor sie geladen werden, und Malwarebytes Mobile Security bietet denselben Webschutz auch für Mobilgeräte. Android Und iOS —zusammen mit Text- und Anruffilterung und Scam Guard, das Ihnen innerhalb von Sekunden ein Urteil über verdächtige Nummern, Links, Nachrichten oder Screenshots liefert.
Das einfachste Warnzeichen
Es gibt einen einfachen Hinweis, den man sich merken sollte:
Ein Sicherheits-Pop-up, das einen Notfall vortäuscht und Sie auffordert, die auf dem Bildschirm angezeigte Telefonnummer anzurufen, sollte als Betrugsversuch behandelt werden.
Apple rät Nutzern, nicht auf verdächtige Anrufe oder Nachrichten von angeblichen Apple-Kunden zu reagieren und das Unternehmen stattdessen über die offiziellen Supportkanäle zu kontaktieren. Die FTC ist in ihren Hinweisen zu Betrugsfällen im Bereich des technischen Supports noch deutlicher:
„Sicherheitswarnungen von seriösen Technologieunternehmen werden Sie niemals auffordern, eine Telefonnummer anzurufen.“
Und wenn eine Webseite eine Apple Pay-ähnliche Oberfläche zeigt, denken Sie daran: Optische Ähnlichkeit beweist nichts. Webseiten können Schaltflächen, Schlösser, Logos, Transaktions-IDs und sogar animierte Ladekreise beliebig imitieren. Entscheidend ist, ob tatsächlich ein echtes Apple Pay-Zahlungsformular aufgerufen wurde.
In diesem Fall ist das nicht der Fall.
Das Wichtigste an diesem Betrug ist nicht die vorgetäuschte Zahlung von 657 Dollar. Vielmehr geht es um die erzeugte Dringlichkeit, mit der das Opfer zu einem Telefonat bewegt werden soll.
Betrüger wissen mehr über dich, als du denkst.
Malwarebytes Mobile Security Sie vor Phishing, betrügerischen SMS, bösartigen Websites und vielem mehr. Mit integriertem, KI-gestütztem Scam Guard in Echtzeit.
