Die von ESET entdeckte CallPhantom-Kampagne offenbart eine klassische Masche der modernen Cyberkriminalität: Eine scheinbar legitime App wird mit falschen Versprechungen bewirbt, und Nutzer werden nach Installation zur Zahlung aufgefordert. Eine der Apps wurde sogar unter dem Entwickler-Namen “Indian gov.in” veröffentlicht — ein gezielter Versuch, Vertrauen durch Imitation staatlicher Institutionen zu schaffen.
Sobald Nutzer zahlten — entweder über Googles offizielles Abrechnungssystem, über UPI-basierte Apps wie Google Pay, PhonePe oder Paytm, oder durch direkte Kreditkarteneingabe — erhielten sie nur willkürlich generierte Telefonnummern und Namen, die in den Quellcode eingebettet waren. Die Betrügerei erstreckte sich über Abo-Modelle von etwa 6 bis 80 Dollar.
Ein besonders raffiniertes Merkmal: Wenn Nutzer die App ohne Zahlung verließen, erhielten sie eine täuschende Benachrichtigung, dass die Anruflisten angeblich versendet wurden. Ein Klick führte direkt zur Abo-Zahlungsseite. Trotz dieser aggressiven Taktik forderten die Apps überraschenderweise keine sensiblen Berechtigungen an und enthielten keine echte Funktionalität zum Abrufen von Daten.
Nach Entfernung aus dem Play Store können Nutzer, die über Googles offizielles Abrechnungssystem zahlten, Rückerstattungen beantragen. Wer jedoch über Drittanbieter-Apps oder Kreditkarte bezahlte, ist auf externe Zahlungsanbieter oder Entwickler angewiesen — eine faktische Aussichtslosigkeit.
Parallel zu CallPhantom berichtete die Sicherheitsfirma Group-IB über eine indonesische Betrugskampagne, bei der Kriminelle etwa 2 Millionen Dollar erbeuteten. Sie gaben sich als Vertreter der Steuerbehörde aus und verbreiteten bösartige APKs via WhatsApp. Diese installierten Android-Malware wie Gigabud RAT, MMRat und Taotie, die Daten stahlen und Kontoübernahmen ermöglichten. Die gleiche Infrastruktur missbrauchte über 16 vertrauenswürdige Marken und zielt auf Indonesiens 287-Millionen-Bevölkerung.
Diese Fälle unterstreichen ein grundlegendes Problem: Selbst der offizielle Play Store bietet keinen garantierten Schutz. Nutzer sollten Apps von unbekannten Entwicklern skeptisch bewerten, Reviews analysieren und niemals sensible Daten für ungewöhnliche Dienste eingeben.