iPhone-Nutzer werden Opfer einer neuen Betrugsmasche, bei der gefälschte Apple Pay-Benachrichtigungen verwendet werden, um sie zu täuschen.
Tech-Support-Betrugsmaschen, bei denen gefälschte Warnungen verwendet werden, um Opfer zum Anrufen einer Telefonnummer zu verleiten, gibt es schon seit Jahren, aber diese Seite wurde speziell für Telefone entwickelt.
Anstatt einer Desktop-Warnung, die behauptet, Ihr Computer sei mit einem Virus infiziert, imitiert der Betrug vertraute iPhone-Funktionen, um Sie zu betrügen.
Was geschieht
Auf Ihrem Smartphone öffnet sich eine Seite, die anzeigt, dass Apple Pay eine App-Store-Zahlung in Höhe von 657 $ verarbeitet. Ein Ladekreis dreht sich. Unter dem Betrag erscheint „Face ID · Identität wird verifiziert“. Es werden eine Transaktions-ID, ein Vorhängeschloss und alle anderen visuellen Hinweise auf eine laufende Zahlung angezeigt.
Wenige Sekunden später ändert sich die Geschichte.
Sie erhalten eine Benachrichtigung, dass Ihre Apple-ID aufgrund einer unbekannten Anmeldung gesperrt wurde. Unter der Anweisung, sich umgehend an den Apple Support zu wenden, wird eine Telefonnummer angezeigt. Wenn Sie die Transaktionsdetails öffnen, ist die Zahlung als „Abgeschlossen“ markiert. Anschließend gibt Ihr Telefon eine Warnmeldung über die unberechtigte Abbuchung aus.
Das ist alles frei erfunden.
Die von uns analysierte Seite enthält keine echte Apple-Pay-Transaktion und keine biometrische Verifizierung. Stattdessen werden fest codierte Zahlungsdaten, vom Browser generierte Sprachausgabe, gefälschte Sicherheitswarnungen und aggressive Navigationstricks verwendet, um das Opfer dazu zu bringen, den Betrüger anzurufen.
Die „Face ID“-Prüfung ist nicht echt.
Der erste Bildschirm ist so gestaltet, dass es den Anschein erweckt, als ob das Telefon selbst eine Zahlung autorisiert.
In diesem Beispiel ist „Face ID · Identitätsprüfung“ lediglich ein HTML-Element, das neben einem Symbol angezeigt wird. Es findet keine Apple-Pay-Anfrage und kein biometrischer Authentifizierungsaufruf statt.
Apple Pay kann auf Webseiten rechtmäßig genutzt werden, eine echte Zahlung beginnt jedoch erst, wenn der Händler sie anfordert. Das System zeigt dem Nutzer dann umgehend eine Zahlungsbestätigung zur Überprüfung und Authentifizierung an, wie es die Apple-Richtlinien vorschreiben.
So etwas passiert hier nicht. Die Betrugsseite hat einfach ihre eigene Nachahmung hervorgerufen.
Der Ladekreis „Zahlung wird verarbeitet“ ist rein kosmetischer Natur. Der gesamte Startbildschirm verschwindet nach 2,8 Sekunden automatisch, unabhängig von den Aktionen des Nutzers.
Die Quittung ist gefälscht, und der Code ist für alle derselbe.
Der nächste Bildschirm ist als Transaktionsbeleg gestaltet. Er enthält einen Betrag, maskierte Kartenziffern, einen Autorisierungscode, eine Transaktions-ID und den grünen Status „Abgeschlossen“.
Die meisten dieser Werte ändern sich nie.
Das liegt daran, dass die Seite den Betrag fest mit 657,00 $ codiert, die Transaktions-ID lautet: AP-2026-08-03-14:32und der Autorisierungscode als AUTH-8F3A2B1CJedem Besucher werden die gleichen Werte angezeigt.
Das Datum wird jedoch dynamisch generiert.
JavaScript-Aufrufe new Date() und formatiert es mit toLocaleString()Das bedeutet, dass für den Beleg das aktuelle Datum, die aktuelle Uhrzeit und die aktuelle Zeitzone des Geräts des Opfers verwendet werden.
Das führt zu einem offensichtlichen Widerspruch. Die feste Transaktions-ID enthält 2026-08-03Das Datumsfeld zeigt hingegen die Uhrzeit und das Datum an, zu dem das Opfer die Seite öffnet.
Bei einer echten Transaktion wird das Transaktionsdatum nicht jedes Mal geändert, wenn jemand sie ansieht.
Der „Sprachalarm“ wird vom Browser generiert.
Sobald das Opfer die Transaktionsdetails öffnet, versucht die Seite zu sprechen:
„Unberechtigte Abbuchung von 657 US-Dollar von Ihrer Apple-ID. Bitte kontaktieren Sie umgehend den Support.“
Es liegt keine aufgezeichnete Apple-Nachricht dahinter.
Das JavaScript erstellt ein SpeechSynthesisUtterance und sendet es an window.speechSynthesis, die im Browser integrierte Web Speech API, um die Warnung laut vorzulesen.
Die Verwendung einer bereits auf dem Gerät des Opfers vorhandenen Text-to-Speech-Funktion ist ein cleverer Social-Engineering-Trick. Die Warnung klingt dadurch eher wie ein Bestandteil des Telefons selbst als wie eine Audioausgabe von einer beliebigen Website.
Die Seite versucht, das Verlassen zu erschweren.
Ein interessanter Aspekt dieses Betrugs ist der Code, der die Ausstiegswege umgibt.
Die Seite fügt einen neuen Browserverlaufseintrag hinzu und überwacht bestimmte Ereignisse. popstateDadurch kann die Seite reagieren, wenn ein Opfer versucht, zurückzunavigieren. Anschließend wird eine Warnung angezeigt, die darauf hinweist, dass das Schließen der Seite die Zahlungs- und Bankdaten des Opfers offenlegen könnte.
Wenn das Opfer die Aufforderung zum Anruf beim Support akzeptiert, navigiert der Code zu einem tel: Die URL enthält die Betrugsnummer. Wenn der Nutzer diese Aufforderung abbricht, erscheint eine weitere Warnung und ein weiterer Eintrag im Verlauf wird hinzugefügt.
Die Seite registriert auch Handler für beforeunload, pagehide, das Kontextmenü, eine Wischgeste vom Bildschirmrand und gängige Tastaturkürzel zur Navigation. iOS , es ist pagehide Der Handler unternimmt sogar einen verzögerten Versuch, direkt zur Telefonnummer zu navigieren.
Diese Tricks können dazu führen, dass die Seite hartnäckig und lästig wird, aber sie sperren weder den Browser noch das Gerät. Moderne Browser schränken die Aktionen von Websites während der Navigation ein. Zum Beispiel: beforeunload wird auf Mobilgeräten nicht zuverlässig ausgelöst, erfordert in der Regel eine vorherige Benutzerinteraktion und kann nur eine generische, browsergesteuerte Bestätigung erzeugen.
Mit anderen Worten: Der Code versucht auf verschiedene Weise, Sie am Verlassen der Seite zu hindern oder Sie zum Anrufen zu bewegen, kann aber nicht die Kontrolle über den Browser selbst übernehmen.
Das Telefongespräch ist das eigentliche Ziel.
Die Gebühr von 657 Dollar ist ein Köder, um Sie ans Telefon zu bekommen.
Die Supportnummer ist prominent auf der Seite platziert, der rote Button „Jetzt verifizieren“ zeigt darauf, und die gefälschten Sicherheitsaufforderungen bieten wiederholt an, diese Nummer anzurufen.
Dies ist eine gängige Masche von Betrügern im Bereich des technischen Supports. Die FTC warnt davor, dass Betrüger gefälschte Zahlungsaufforderungen verwenden, um Opfer zum Anrufen zu bewegen. Anschließend fordern sie möglicherweise Fernzugriff oder setzen die Opfer unter Druck, Geld per Geschenkgutschein, Banküberweisung, Kryptowährung oder Zahlungs-Apps zu senden.
Apple warnt außerdem davor, dass Betrüger behaupten könnten, jemand habe sich Zugang zu Ihrem Apple-Konto verschafft oder unautorisierte Apple Pay-Abbuchungen vorgenommen, und dabei Dringlichkeit vortäuschen, um Sie davon abzuhalten, sich selbstständig an Apple zu wenden.
Was tun, wenn Sie eine Seite wie diese sehen?
Es gibt einen einfachen Hinweis, den man sich merken sollte:
Ein Sicherheits-Pop-up, das einen Notfall vortäuscht und Sie auffordert, die auf dem Bildschirm angezeigte Telefonnummer anzurufen, sollte als Betrugsversuch behandelt werden.
Wenn auf einer Webseite eine Apple Pay-ähnliche Oberfläche erscheint, bedenken Sie, dass die visuelle Ähnlichkeit nichts beweist. Webseiten können Schaltflächen, Schlösser, Logos, Transaktions-IDs und sogar animierte Ladekreise beliebig imitieren. Entscheidend ist, ob tatsächlich ein echtes Apple Pay-Zahlungsformular aufgerufen wurde.
In diesem Fall ist das nicht der Fall. Der entscheidende Punkt bei diesem Betrug ist nicht die vorgetäuschte Zahlung von 657 Dollar, sondern die erzeugte Dringlichkeit, um das Opfer zu einem Telefonat zu bewegen.
- Tippen Sie nicht auf „OK“, „Anrufen“ oder „Bestätigen“. Jede Berührung des Bildschirms führt entweder zu einem Anruf oder zur Anzeige einer weiteren Warnung.
- Wählen Sie die Nummer nicht und rufen Sie später auch nicht zurück, um sich zu beschweren oder nachzufragen.
- Schließen Sie den Tab über die Tab-Übersicht Ihres Browsers. Auf dem iPhone oder Android Öffnen Sie den Tab-Wechsler und wischen Sie den Tab weg. Sobald der Tab geschlossen ist, kann die Betrugsseite Sie nicht mehr dort festhalten oder versuchen, Sie anzurufen.
- Wenn ein Dialogfeld erscheint, in dem Sie gefragt werden, ob Sie die Seite verlassen möchten, wählen Sie „Verlassen“. Webseiten können Sie zwar zum Bleiben auffordern, aber sie können Sie nicht am Verlassen der Seite hindern.
- Im Zweifelsfall prüfen Sie Ihre Kaufhistorie. Öffnen Sie den App Store oder die Einstellungen auf Ihrem Gerät und sehen Sie sich Ihre Apple-Kaufhistorie an. Wenn dort keine Abbuchung von 657 € aufgeführt ist, wurde diese auch nie vorgenommen.
Wenn Sie bereits jemanden angerufen und ihm Fernzugriff auf Ihr Gerät gewährt haben, handeln Sie sofort:
- Trenne die Internetverbindung
- Deinstallieren Sie jegliche Fernzugriffssoftware, die Ihnen auferlegt wurde.
- Ändern Sie Ihr Apple-ID-Passwort und Ihre Bankpasswörter von einem anderen Gerät aus.
- Bitte wenden Sie sich bezüglich aller von Ihnen getätigten Zahlungen an Ihre Bank.
Prüfen Sie, ob es sich um Betrug handelt.
Wenn Ihnen eine solche Nummer angezeigt wird oder sich bereits in Ihrem Anrufverlauf befindet, überprüfen Sie sie, bevor Sie etwas anderes unternehmen. Malwarebytes Scam Number Check ist ein kostenloser Service, um festzustellen, ob eine Nummer mit Betrugsaktivitäten in Verbindung steht. Geben Sie einfach die Nummer ein, und wir teilen Ihnen mit, ob es sich wahrscheinlich um Betrug handelt.
Haben Sie einen Screenshot oder eine URL einer mutmaßlichen Betrugsseite? Laden Sie diese in Scam Guard hoch – integriert in Malwarebytes Mobile Security – und Sie erhalten innerhalb von Sekunden ein Ergebnis und Sicherheitstipps.
