Steam- und Discord-Betrug als unterschätzte Gefahr

Gamer-Benutzerkonten und die dort gespeicherten Informationen sind ein begehrtes Ziel für Hacker und Kriminelle. Das liegt daran, dass ihre Eigentümer ihren tatsächlichen Wert oft verkennen. Spieleplattformen wie Steam oder Messaging-Dienste wie Discord werden darum gerne von Bedrohungsakteuren missbraucht, um nichts ahnende Gamer ins Visier zu nehmen.

Doch was genau macht Gamer so attraktiv? Der Reiz für Angreifer liegt in einer Mischung aus Umständen, die so nur auf sie zutrifft: Zuallererst sind viele Gamer fast immer irgendwie online. Auch wenn sie gerade keine Multiplayer-Spiele zocken, bleiben sie über ihre Gaming-Plattformen mit anderen Spielern in Kontakt. Darüber hinaus sind viele Gamer über die mobilen Clients dieser Plattformen praktisch rund um die Uhr online.

Hinzu kommt, dass viele Nutzer den Wert ihrer Gaming-Konten unterschätzen. Sie treffen daher wenig bis keine Sicherheitsvorkehrungen und kommen erst gar nicht auf die Idee, dass sie überhaupt zum Ziel werden könnten. Dabei beziffert der Steam-Calculator eines Drittanbieters den durchschnittlichen Wert eines Steam-Kontos auf rund 1.900 US-Dollar, eine durchaus beträchtliche Summe.

Darum geht es ihnen

Die Übernahme vom Steam-Konten ist eine der häufigsten Arten von Angriffen auf Nutzer der Plattform, was angesichts des durchschnittlichen Wertes eines Steam-Kontos wenig überrascht. Es gibt mehrere Möglichkeiten, wie Nutzer die Kontrolle über ihre Konten verlieren können, wobei zwei Varianten besonders hervorstechen.

In vielen Fällen kontaktieren die Betrüger ihre potenziellen Opfer direkt. Sie geben vor, für Steam zu arbeiten und verweisen auf ein angebliches Problem. So behaupten sie zum Beispiel, dass der Account gemeldet wurde oder dass eine Sperrung droht. Dabei lenken die das Gespräch geschickt in eine Richtung: Der User soll seine Anmeldedaten und, falls eingerichtet, auch den Code seiner Multi-Faktor-Authentifizierung angeben.

Haben sich die Angreifer erst einmal Zugang verschafft, ändern sie die Anmededaten und verlangen ein Lösegeld für die Freigabe des Kontos. Je nach Umfang des Hacks oder dem Wert des Kontos verzichten sie möglicherweise auch auf das Lösegeld und gehen direkt dazu über, es anderweitig zu verkaufen.

Eine weitere beliebte Methode ist der Versand von Phishing-Links über verschiedene Plattformen, zum Beispiel über Steam selbst, über Discord, SMS, soziale Medien usw. Die Verwendung der Multi-Faktor-Authentifizierung wird auf Steam nicht erzwungen, was bedeutet, dass nicht jeder sie aktiviert hat. Ohne M.F.A. gestaltet sich die Übernahme von Steam-Konten jedoch deutlich einfacher.

Aber das ist nicht die einzige Bedrohung, der Steam-Nutzer ausgesetzt sind. Handelsbetrug ist ebenfalls keine Seltenheit, denn auf dem Steam-Markt können Nutzer ihre digitalen Gegenstände gegen reales Geld handeln. Dabei erhalten die Spieler Angebote für ihre digitalen Gegenstände, entweder im Austausch für andere Gegenstände oder gegen Geld. Das Problem ist, dass Steam keine Wallet-Guthaben, PayPal, Geschenkkarten oder andere Formen von Geld-gegen-Gegenstände-Angeboten unterstützt.

Betrüger versuchen auch, minderwertige Gegenstände als Gegenleistung anzubieten, fragen nach persönlichen Daten, bieten Spielekeys auf CD an oder schlagen vor, den Handel über einen Zwischenhändler abzuwickeln. Es kommt auch immer wieder vor, dass Betrüger Gegenstände zum Tausch anbieten, die sie mit gestohlenen Kreditkarten erworben haben.

Der Handel auf Steam ist mit vielen unewarteten Risiken verbunden. Nutzer sollten besonders dann vorsichtig sein, wenn ihre Handelspartner Druck machen und versuchen, die Transaktion besonders schnell abzuschließen. Sie sollten sich immer die Zeit nehmen, alles genau zu überprüfen.

Eine der gefährlichsten Betrugsmaschen steht im Zusammenhang mit Steam-Wallet-Geschenkkarten und ist um einiges komplexer. Kriminelle nehmen telefonisch Kontakt zu Nutzern auf und bringen sie durch Zwang oder Täuschung dazu, Steam-Wallet-Geschenkkarten zu kaufen, um vermeintliche Steuern, Kautionen, Schulden oder die Auszahlung von bei Gewinnspielen gewonnenem Geld zu bezahlen. Dabei geben sich die Betrüger oft als Vertreter verschiedener Behörden wie zum Beispiel dem Finanzamt aus.

Discord ebenfalls mit Tücken

Discord gehört zu den beliebtesten Plattformen von Gamern. Hier können sie auf eigenen Servern zusammenkommen, Dienste wie Instant-Messaging und Sprach- und Videotelefonie nutzen und untereinander Dateien austauschen. Diese Funktionen machen Discord zu einer vielseitigen Plattform, können aber auch von Betrügern und Hackern missbraucht werden. Erschwerend kommt hinzu, dass manche Nutzer ihre Steam- und Discord-Konten verbinden und sich so noch anfälliger für Betrug machen.

Genau wie bei Steam können Discord-Nutzer von Personen kontaktiert werden, die sich als Discord-Mitarbeiter ausgeben, um ihnen Anmeldedaten oder andere relevante persönliche Informationen zu entlocken.

Betrüger kontaktieren Benutzer aus heiterem Himmel oder geben sich als Ihre Freunde aus, um Sie zum Download gefährlicher Dateienzu verleiten. Oder Sie geben vor, Vertreter eines Indie-Entwicklerstudios zu sein und bitten um Mitwirkung beim Testen eines Spiels.

Kontoübernahmen sind auch bei Discord keine Seltenheit. Hacker versuchen, ihre Opfer zur Übergabe von Sitzungstoken aus der Entwicklerkonsole zu bewegen, die dann zum Diebstahl des Kontos verwendet werden. Es versteht sich von selbst, dass Benutzer ihre Sitzungstoken niemals an Dritte weitergeben sollten.

Ebenfalls Vorsicht walten lassen sollten Discord-Nutzer bei Nachrichten, die ihnen kostenlosen Zugang zu Nitroversprechen. Bei Nitro handelt es sich um ein kostenpflichtiges Abonnement, dass Nutzern Zugang zu Sonderfunktionen eröffnet. Um ihr vermeintliches Nitro-Guthaben einzulösen, sollen Nutzer einen QR-Code scannen, der mit großer Wahrscheinlichkeit auf einen gefährlichen Link oder eine Schaddatei verweist.

Und schließlich wird Discord als Ablageort für Dateien verwendet, die bei allen Arten von Angriffen eingesetzt werden, wie zum Beispiel Kryptojacking oder Betrugsmaschen, die den Krieg in der Ukraine ausnutzen. Unsere Sicherheitslösungen für Windows, Linux und macOS fangen schädiche Links ab, die von Discord stammen. Hinzu kommt eine einzigartige Technologie namens Betrugswarnung in Bitdefender Mobile Security for Android, die schädiche Links auf Mobilgeräten umgehend blockiert.

Die Verteilung der Arten von Links, die von unserer Telemetrie in den letzten zwei Monaten aufgefangen wurden wurden und von Discord stammen, ist wirklich interessant und zeigt, warum der Einsatz einer Sicherheitslösung sich nicht nur empfiehlt, sondern unumgänglich ist.

Fazit und Tipps

Gaming ist mit weitaus mehr Gefahren verbunden, als man glauben mag. Allein die Viezahl der Maschen, Betrügerien und Angriffsmethoden zeigt, wie attraktiv Gamer für Kriminelle sind und das ihre Taktiken funktionieren. Dabei kann man sich durchaus schützen, es gilt nur ein paar einfache Tipps zu beherzigen.

• Nutzen Sie überall, wo es möglich ist, die Option zur Multi-Faktor-Authentifizierung.
• Geben Sie niemals Ihre Anmeldedaten oder Ihr Sitzungstoken an andere Benutzer weiter, ganz egal, wer sie vorgeben zu sein
• Seien Sie misstrauisch gegenüber Nachrichten, die übermäßige Dringlichkeit vermitteln.
• Seien Sie vorsichtig bei unbekannten Benutzern, die Ihnen Links oder Dateien schicken. Wenn Freunde Ihnen Links, Dateien oder andere Objekte ohne Aufforderung schicken, versichern Sie sich auf anderem Wege, dass es sich wirklich um sie handelt.
• Nehmen Sie sich die Zeit, alle Handelsangebote und andere Transaktionen auf Steam genau zu prüfen.
• Nutzen Sie Sicherheitslösungen auf allen Ihren Geräten, einschießlich Ihres Mobiltelefons. Viele dieser Betrugsversuche werden von der Sicherheitslösung schon im Keim erstickt.