Die Infrastruktur des Betrugs war beeindruckend aufgebaut: C.A. Cloud Attribution bot Telefonnummern, Call-Aufzeichnungen, Call-Forwarding und Tracking-Dienste an – alles perfekt zugeschnitten auf die Bedürfnisse von Betrügern. Von Anfang 2017 bis April 2022 wussten Young und Gevirtz genau, dass viele ihrer Kunden Telemarketing- und Tech-Support-Betrügereien betrieben. Dennoch nicht nur untätig zuschauen: Sie agierten aktiv als Geschäftspartner. Sie rieten Kunden, rotierende Telefonnummerpools zu nutzen, um Beschwerden zu minimieren. Sie instruierten ihre Sales-Teams, gezielt Betrüger anzuwerben. Sie führten Scammer sogar untereinander zusammen, damit diese Anrufe kaufen und verkaufen konnten.
Die Masche selbst ist seit Jahren bekannt und betrifft auch deutsche Nutzer regelmäßig: Pop-Up-Anzeigen behaupten fälschlicherweise, das System sei mit Malware infiziert. Die Opfer werden aufgefordert, eine Nummer anzurufen. Call-Center-Mitarbeiter geben sich als Microsoft- oder Apple-Techniker aus und fordern hunderte oder tausende Euro für nicht erbrachte Dienstleistungen. In schwerwiegenden Fällen erhalten die Betrüger sogar Fernzugriff auf die Rechner und stehlen Bankdaten sowie persönliche Informationen.
Besonders dreist: Young und Gevirtz betrieben zugleich ein Call-Center in Tunesien, wo ihre eigenen Mitarbeiter ebenfalls Tech-Support-Betrug durchführten – mit gefälschten Rechnungen und kompromittierten Links.
Die Zahlen sind erschreckend: Im Jahr 2024 verloren Amerikaner mindestens 2,1 Milliarden Dollar an Tech-Support-Betrügern. Das FBI registrierte fast 48.000 Beschwerden. Ein Schwindler wurde allein für die Entwendung von über 6 Millionen Dollar von mindestens 6.500 älteren Opfern zu sieben Jahren Haft verurteilt.
Für Deutschland: Das BSI und der Bundesdatenschutzbeauftragte (BfDI) warnen kontinuierlich vor solchen Angriffsmustern. Opfer sollten sofort handeln: Passwörter ändern, Bankkonten überprüfen und Anzeige bei der Polizei und der Verbraucherzentrale erstatten. Unternehmen müssen ihre IT-Security schulen und verdächtige Aktivitäten dem BSI melden – auch zur Compliance mit der DSGVO.