Nach der Analyse von Flare hat sich das Ökosystem der Betrugsanrufe stark professionalisiert und in einzelne Funktionen aufgeteilt – ähnlich einer arbeitsteiligen Wertschöpfungskette. Zu den Rollen zählen demnach Malware-Entwickler, Distributoren, Erbauer von Phishing-Kits, Infrastruktur-Betreiber, Händler von Zugangsdaten und Opferlisten, Datenanalysten sowie die Anrufer selbst, die den eigentlichen Angriff ausführen.
Durch diese Arbeitsteilung sinkt die Einstiegshürde deutlich: Wer als Anrufer arbeitet, muss weder Schadsoftware entwickeln noch Infrastruktur betreiben, sondern kann sich ganz auf Kommunikation, Überzeugungstechniken und Social Engineering konzentrieren. Entsprechend nennen die Stellenanzeigen klare Anforderungen – etwa muttersprachliches Englisch, Vertrautheit mit operativer Sicherheit (OPSEC) und vorherige Betrugserfahrung.
Aufschlussreich ist laut Flare, dass manche Rollen verlangen, während der laufenden Anrufe in einer Bildschirmfreigabe zu bleiben. Das deute darauf hin, dass die Betreiber die Leistung in Echtzeit überwachen, statt nur Aufgaben auszulagern. Diese Aufsicht diene dazu, die Einhaltung der Skripte sicherzustellen, die Erfolgsquote zu erhöhen sowie internem Betrug und Datenabfluss vorzubeugen – eine Kontrolldichte, wie man sie eher aus legitimen Callcentern kennt.
Auch bei der Anwerbung orientieren sich die Akteure an Methoden seriöser Arbeitgeber. Statt Kundenstimmen oder Mitarbeiterfotos genügt im Untergrund ein Screenshot eines gut gefüllten Krypto-Wallets: Ein Guthaben von rund 475.000 Dollar dient laut Flare als „Profitnachweis", um neue Mitstreiter zu gewinnen und Zweifel zu zerstreuen – ob echt oder gefälscht.
Bei der Bezahlung unterscheidet Flare mehrere Modelle: feste Beträge, erfolgsabhängige Zahlungen und eine Mischform. In einer Variante erhalten Anrufer einen prozentualen Anteil der erbeuteten Summe, der bei größeren Beträgen steigt; in einer anderen zahlen die Betreiber 1.000 Dollar pro erfolgreichem Anruf plus einen zusätzlichen Anteil. Aus Gesprächen zwischen den Akteuren geht hervor, dass erfolgreiches Social Engineering nicht immer sofort Geld einbringt – die Vergütung wird daher teils verzögert oder an Bedingungen geknüpft. Das zeigt, dass der Betrug über den ersten Anruf hinausreicht und weitere Schritte nötig sind, um Zugänge oder Informationen zu Geld zu machen, während die Betreiber die Kontrolle über die spätere Monetarisierung behalten.
Die Bewerber nehmen die Konditionen nicht einfach hin, sondern stellen Fragen, vergleichen Angebote und wägen die Bezahlung ab – eine Dynamik, die sich kaum von einem regulären Arbeitsmarkt unterscheidet. Ähnlich wie bei Stellenanzeigen auf LinkedIn formulieren die Betreiber präzise Inserate, die geforderte Eigenschaften, Aufgaben und Erfahrung für jede Rolle benennen. Bei den Anrufern stehen weniger technische Fähigkeiten im Vordergrund als ausgeprägte soziale Kompetenzen: klare Kommunikation, emotionale Intelligenz und fortgeschrittene Manipulationstechniken. Die Bevorzugung englischer Muttersprachler verweist nach Einschätzung von Flare auf eine gezielte Ausrichtung auf bestimmte Regionen.
Flare ordnet die Entwicklung in einen größeren Trend ein: Wie bei Ransomware-as-a-Service und dem Handel mit Erstzugängen treiben Spezialisierung und Arbeitsteilung die Effizienz. Die dezentrale Struktur erschwert die Bekämpfung – das Entfernen einzelner Anrufer bringe wenig, weil Opferdaten, Betreiber und Monetarisierungskanäle verteilt und widerstandsfähig seien. Zugleich gilt laut Flare: Datenlecks weiter oben in der Kette befeuern den Betrug weiter unten unmittelbar.