Die Sicherheitsforschung offenbart ein massives Betrugsnetzwerk, das speziell auf Fans der kommenden Weltmeisterschaft 2026 abzielt. Group-IB identifizierte die Bande unter dem Namen GHOST STADIUM – eine von vier unabhängigen Bedrohungsakteuren, die auf das Turnier abzielen. Zusammen haben diese Kriminellen seit August 2025 mehr als 4.300 betrügerische Domains registriert, die sich als FIFA-Webpräsenz ausgeben.
Besonders bemerkenswert ist die technische Raffinesse der Attacke. GHOST STADIUM nutzt einen Phishing-Kit basierend auf Layui 2.7.6m, einer chinesischen Open-Source-UI-Bibliothek, die außerhalb der chinesischen Entwickler-Community praktisch unbekannt ist. Die gefälschten Seiten sind so ausgefallen, dass sie das Login-System der FIFA nahezu pixel-perfekt nachahmen. Das Tückische: Das System leitet Nutzer nach der vermeintlichen Anmeldung automatisch zur echten FIFA-Website zurück – was den Betrug verschleiert. Parallel sperren die Betrüger die kompromittierten Konten durch Passwort-Reset-Manipulationen, können dann die legitimen Tickets des Opfers weiterverkaufen.
Die Dimensionen sind beeindruckend: Von 300 aktiven Phishing-Domains verkaufen mindestens 79 allein Premium- und Hospitality-Tickets für 1.500 bis über 10.000 Dollar. Group-IB dokumentierte an einer einzigen Domain über 600 Opfer-Registrierungen. Hochgerechnet könnte allein dieser Bereich über 47.400 Menschen betreffen, mit geschätzten Verlusten zwischen 71 Millionen und 474 Millionen Dollar – das ist nur ein Viertel der gesamten Kampagne.
Vertrieb erfolgt hauptsächlich über bezahlte Facebook-Anzeigen mit Lockangeboten: Tickets für 60 Dollar, die eigentlich Tausende kosten. Das “First-come-first-served”-Messaging erzeugt künstlichen Druck zum schnellen Kauf.
Die Warnung ist eindeutig: Ticketkäufer sollten nur fifa.com direkt im Browser eingeben – niemals über Links aus E-Mails oder Anzeigen. Alle Domains mit Bindestrichen im FIFA-Namen sind Betrug. Group-IB hat Behörden benachrichtigt. Für deutsche Nutzer gilt: Vorsicht bei Ticketangeboten, Überprüfung der URL-Authentizität und sofortige Meldung an das BSI bei Verdacht auf Kompromittierung persönlicher Daten.