Die amerikanische Justiz hat ein Strafmaß gegen einen Cyberkriminellen verhängt, das die organisierte Dimension des Handels mit gehackten Konten verdeutlicht. Der 23-jährige Kamerin Stokes aus Memphis, Tennessee, wurde zu 30 Monaten Gefängnisstrafe verurteilt. Nach Gerichtsunterlagen war er nicht der Initiator des Angriffs, sondern ein Wiederverkäufer: Die Konten wurden von Nathan Austad (Alias Snoopy) und Joseph Garrison durch einen Credential-Stuffing-Angriff kompromittiert.
Das Angriffsszenario folgt einem bekannten Muster: Austad und Garrison verwendeten gestohlene Anmeldedaten aus früheren Datenschutzverletzungen, um sich in DraftKings-Konten einzuloggen. Anschließend verkauften sie die Zugangsdaten. Der Schaden war erheblich: Aus etwa 1.600 kompromittierten Konten wurden rund 635.000 Dollar gestohlen. Die Täter verdienten über 2,1 Millionen Dollar durch den Verkauf gehackter Konten — nicht nur von DraftKings, sondern auch von FanDuel und Chick-fil-A.
Stokes, der sich online als “TheMFNPlug” bezeichnete, kaufte viele dieser Konten in großen Mengen auf und verkaufte sie über seinen eigenen Online-“Shop” weiter. Nach seiner Verhaftung und Schuldigsprechung wurde er freigelassen, während er auf seinen Prozess wartete. Statt zu lernen, tat er das Unfassbare: Er eröffnete seinen Shop erneut — diesmal mit dem Slogan “Fraud is Fun” (Betrug macht Spaß). Damit versetzte er sich selbst zurück hinter Gitter.
Die Staatsanwaltschaft dokumentierte, dass Stokes bereits seit drei Jahren solche illegalen Shops betrieb. Er gab zu, den neuen Shop auch deshalb eröffnet zu haben, weil er Geld für seinen Anwalt brauchte — eine Aussage, die die Dreistigkeit seiner Aktivitäten unterstreicht. Nach dieser erneuten Verhaftung wurde er bis zu seiner Verurteilung in Haft behalten.
Zusätzlich zur Freiheitsstrafe muss Stokes 1.327.061 Dollar Schadensersatz und 125.965,53 Dollar Geldeinzug zahlen. Zudem wartet auf ihn eine dreijährige Überwachungsphase nach seiner Entlassung.
Der Fall illustriert ein großes Problem der Cyberkriminalität: die Arbeitsteilung. Während einige Hacker die technischen Angriffe durchführen, spezialisieren sich andere auf den Weiterverkauf und die Monetarisierung. Diese “Finanz-Cyberkriminellen” sehen sich oft als weniger schuldig an, obwohl sie den wirtschaftlichen Schaden erst möglich machen. Dass Stokes seine Aktivitäten selbst nach Verhaftung fortsetzte, zeigt zudem die mangelnde Abschreckungswirkung — bis zur tatsächlichen Haft.