Hacker übernehmen japanische Handelskonten, um Penny Stocks zu pumpen

Hacker dringen in japanische Online-Brokerage-Konten ein und nutzen diese, um die Preise von Penny-Aktien weltweit in die Höhe zu treiben, so japanische Aufsichtsbehörden und Branchenvertreter. 

Polizei, Broker und die Financial Services Agency (FSA) schätzen, dass bereits etwa 100 Milliarden Yen – rund 710 Millionen US-Dollar – durch diese betrügerischen Geschäfte geflossen sind, wobei die meisten davon in Penny-Aktien stattfanden.

Das Muster ist einfach: Diebe übernehmen das Login eines Kunden, kaufen Low-Cap-Aktien in Japan, den USA oder China und treiben den Preis hoch genug, damit frühere Inhaber – oft die Hackern Diebe selbst – aussteigen können.

Aus Sorge, dass ihre Plattformen als Startpunkte für diese Betrugsfälle genutzt werden, haben mehrere japanische Wertpapierhäuser neue Kaufaufträge für bestimmte Small-Cap-Titel in China, den USA und im Inland ausgesetzt.

Große Broker in Japan haben die verdächtigen Transaktionen von Hackern bestätigt

Acht der größten Online-Broker des Landes, darunter Rakuten Securities Inc. und SBI Securities Co., haben unbefugte Transaktionen bestätigt. Der Erfolg der Angreifer hat Japan zu einer potenziellen Schwachstelle in der Verteidigung der globalen Märkte gemacht und Lücken in der Cybersicherheitspraxis des Landes offengelegt, während die Regierung die Haushalte auffordert, mehr Rentengeld in Aktien zu investieren.

Opfer sagen, die Erfahrung sei verwirrend und kostspielig. Mai Mori, eine 41-jährige Teilzeitkraft in der Präfektur Aichi, zeigte dass ihr Rakuten-Rente-Konto verwendet wurde, um chinesische Aktien im Wert von 639.777 Yen zu kaufen – etwa zwölf Prozent ihrer Ersparnisse. Sie rief Rakuten an, das ihr riet, eine Polizeianzeige zu erstatten.

„Die Polizei sagte mir, dass die Opfer in den meisten Betrugsfällen oft einfach den Verlust stillschweigend hinnehmen müssen“, erinnerte sich Mori. „Im Grunde gibt es nicht viel, was man tun kann.“

Rakuten sagt, es werde „jeden Fall individuell weiter untersuchen und in gutem Glauben reagieren“. Der Rivale SBI gibt an, dass es „die individuellen Umstände hört und schnell reagiert“. SMBC Nikko Securities Inc. fügt hinzu, dass es jede Beschwerde prüft und „individuelle Reaktionen in Betracht ziehen wird.“

Nicht jedes Opfer ist bereit, öffentlich zu werden. Ein Mann aus Tokio in den mittleren 50ern, der nicht genannt werden wollte, sagt, er habe etwa 50 Millionen Yen verloren, als sein Brokerage-Konto am Morgen des 16. April übernommen wurde. Ein Alert blinkte auf seinem iPhone auf, aber als er das Unternehmen anrief, wurde ihm gesagt, Techniker könnten das Konto nicht schnell einfrieren, um die Trades zu stoppen.

Am 22. April forderte Finanzminister Katsunobu Kato Wertpapierunternehmen auf, „gutgläubige“ Gespräche mit betroffenen Kunden über die Erstattung von Verlusten zu führen. Bisher haben jedoch nur wenige Anleger Entschädigungen erhalten.

Fälle von verdächtigem Handel nehmen in Japan zu

Das Ausmaß des Problems wächst schnell. Laut der FSA sprangen die Fälle von verdächtigem Handel im ersten Halbjahr April von nur 33 im Februar auf 736. Die Beamten gaben den gestohlenen Gesamtbetrag nicht bekannt, aber Branchenanalysten warnen, dass der Anstieg die langjährige Kampagne der Regierung bedroht, das Bargeld der Haushalte von Bankeinlagen in Anlagekonten zu verschieben.

Cybersicherheitsexperten sagen, die Betrügern verlassen sich wahrscheinlich auf zwei Techniken: „Adversary-in-the-Middle“-Angriffe und Infostealer-Malware.

Im ersten Fall werden die Opfer auf eine gefälschte Webseite gelockt – oft durch eine Phishing-E-Mail oder eine bösartige Online-Werbung –, die sie diskret zur echten Brokerage-Seite umleitet.

Während der Kunde einen Benutzernamen und ein Einmal-Passwort eingibt, sammelt der Angreifer die Session-Cookies ein und übernimmt die Kontrolle über das Konto. Einige gefälschte Seiten zeigen die echte Seite neben der gefälschten an, was eine Illusion der Authentizität erzeugt.

Eine kulturelle Präferenz für Desktop-Browser gegenüber mobilen Trading-Apps ist eine weitere Schwäche, sagt Yutaka Sejiyama, stellvertretender Direktor bei Macnica Security Research. Mobile Apps verwenden tendenziell stärkere biometrische Checks und verschlüsselte Kanäle. „Wenn die Leute zu Apps wechseln würden, hätten viele dieser Diebstähle gestoppt werden können“, argumentiert er.

Im Gegensatz dazu sind Infostealer kleine Programme, die in Anhängen, Anzeigen oder falschen Links versteckt sind. Sobald sie auf einem Computer oder Telefon sind, durchsuchen sie Dateien und Browser nach gespeicherten IDs und Passwörtern und senden die Daten an den Angreifer, ohne dass der Besitzer es bemerkt.