Der Einstieg in die Angriffe erfolgt über eine Phishing-Mail an Besitzer von Facebook-Business-Konten. Die Nachricht gibt sich als Mitteilung von Meta Support aus und fordert die Empfänger auf, Einspruch einzulegen – andernfalls werde das Konto endgültig gelöscht. Der erzeugte Zeitdruck leitet die Nutzer auf eine gefälschte Webseite, die ihre Zugangsdaten abgreift. Eine ähnliche Kampagne hatte KnowBe4 bereits im Mai 2025 beschrieben.

In den vergangenen Wochen erweiterten die Angreifer ihr Repertoire an Ködern, die gezielt eine “Meta-bezogene Panik” auslösen sollen. Die Bandbreite reicht von angeblichen Kontosperren und Urheberrechtsbeschwerden über Verifizierungsprüfungen und vorgebliche Stellenangebote für Führungskräfte bis hin zu Warnungen über Facebook-Logins. Guardio identifizierte dabei vier Hauptcluster.

Die Telegram-Kanäle der ersten drei Cluster enthalten den Forschern zufolge zusammen etwa 30.000 Opferdatensätze. Die Betroffenen, die aus ihren eigenen Konten ausgesperrt wurden, befinden sich überwiegend in den USA, Italien, Kanada, den Philippinen, Indien, Spanien, Australien, Großbritannien, Brasilien und Mexiko.

Den entscheidenden Hinweis auf die Urheber lieferten PDF-Dateien aus dem dritten Cluster, die mit einem kostenlosen Canva-Konto erstellt wurden. Deren Metadaten weisen den vietnamesischen Namen “PHẠM TÀI TÂN” als Autor aus. Weitere Open-Source-Recherchen führten zu einer Website (“phamtaitan[.]vn”), auf der Dienstleistungen im Bereich digitales Marketing angeboten werden. In einem Beitrag auf X aus dem Februar 2023 erklärte der Betreiber der Seite, man sei auf digitale Marketingdienste, Marketingressourcen und die Beratung zu wirksamen Digitalmarketing-Strategien spezialisiert.

“Zusammengenommen ergeben sie das stimmige Bild einer großen, in Vietnam ansässigen Mega-Operation”, sagte Chen. Die Kampagne sei mehr als ein bloßer Missbrauch von AppSheet – sie biete einen Einblick in den Schwarzmarkt rund um gestohlene Facebook-Ressourcen, auf dem Zugang, Geschäftsidentität, Werbe-Reputation und sogar die Kontowiederherstellung zu handelbaren Waren geworden seien. Es sei ein weiteres Beispiel für ein wiederkehrendes Muster, bei dem vertrauenswürdige Plattformen als Schicht für Auslieferung, Hosting und Monetarisierung zweckentfremdet würden.