Nach Darstellung von CTM360 zielen kompromittierte Versicherungskonten auf mehr als nur einzelne Transaktionen. Solche Konten enthalten oft umfangreiche personenbezogene Daten, Identitätsdokumente, Policenunterlagen, Zahlungsinformationen und weitere sensible Kundendaten. Das macht sie für Betrug in mehreren Formen attraktiv.
Die von CTM360 untersuchte Kampagne gab sich nicht nur als eine einzelne Marke aus. Vielmehr nutzten die Angreifer dieselbe operative Infrastruktur über zahlreiche Versicherungsmarken hinweg und passten Sprache, Branding und Inhalte an die jeweiligen lokalen Märkte an. Die Phishing-Seiten ahmten Markenauftritt, Benutzeroberflächen, Angebotsstrecken und Kundenportale echter Versicherer so detailgetreu nach, dass Misstrauen während der Nutzung möglichst ausbleiben sollte.
Als primären Zustellweg beobachteten die Forscher gesponserte Google-Anzeigen. Die Anzeigen warben mit Formulierungen wie „Autoversicherungsangebote vergleichen“ oder „Günstigste Haftpflichtversicherung“ und sollten Nutzer dazu bringen, auf vermeintlich legitime Vergleichs- oder Angebotsseiten zu klicken. Nach dem Klick wurden die Opfer auf Phishing-Websites umgeleitet.
Auch die Infrastruktur hinter den Kampagnen war laut CTM360 auf schnelle Austauschbarkeit ausgelegt. Statt auf dediziertes bösartiges Hosting setzten die Betreiber häufig auf legitime Website-Baukästen und kostenlose Hosting-Plattformen wie GitHub Pages, Netlify, Hostinger, Wix, Lovable und andere Cloud-Dienste. Zufällig wirkende Domains mit kaum oder gar keinem Bezug zu Versicherungsmarken ermöglichten es den Betreibern, Kampagnen schnell zu rotieren und klassische Markenüberwachung zu unterlaufen.
Technisch geht das Modell über herkömmliches Sammeln von Zugangsdaten hinaus. Während ein Opfer seine Anmeldedaten in das Phishing-Portal eingibt, verwenden die Angreifer diese Informationen laut CTM360 gleichzeitig beim echten Versicherungsportal. Verlangt der legitime Anbieter ein Einmalpasswort oder eine andere Verifizierung, fordert auch die Phishing-Seite den Code sofort vom Opfer an – getarnt als routinemäßige Identitätsprüfung. Der eingegebene OTP-Code wird dann vor Ablauf an das echte Portal weitergereicht.
Dadurch können die Täter Zugangsdaten unmittelbar prüfen, Anforderungen der Mehrfaktor-Authentifizierung erfüllen und in Echtzeit eine authentifizierte Sitzung aufbauen. CTM360 spricht deshalb nicht mehr nur von klassischem Datendiebstahl, sondern von einer sitzungsgebundenen Kompromittierung. Die bisher oft angenommene Verzögerung zwischen Diebstahl von Zugangsdaten und deren Missbrauch entfalle in solchen Operationen.
Während der Untersuchung identifizierte CTM360 zudem ein zuvor nicht dokumentiertes Phishing-Kit, das die Forscher „InsureOTP Kit“ nannten. Das Framework sei gezielt für versicherungsbezogene Phishing-Operationen entwickelt worden und biete Live-Sitzungsverwaltung, Datenerfassung in Echtzeit, Backend-Administration und mehrere Methoden zur Datenexfiltration. Einige Varianten nutzten laut CTM360 Telegram-Bot-APIs, um strukturierte Opferdaten sofort zu empfangen; andere übertrugen Informationen direkt an von Angreifern kontrollierte Backend-Server. Beobachtet wurden außerdem Backend-Oberflächen, die bei fehlgeschlagener Anmeldung weitere OTP-Eingaben anfordern konnten, solange die Codes noch gültig waren.
CTM360 fand darüber hinaus öffentlich erreichbare Backend-Ressourcen, die mit der Phishing-Infrastruktur verknüpft waren. Die Analyse offengelegter Archive brachte administrative Komponenten, Backend-Quellcode, SQLite-Datenbanken, Betriebsaufzeichnungen und unterstützende Infrastruktur zum Vorschein. Für CTM360 zeigt die Untersuchung damit, dass moderne Bedrohungsaufklärung über die Identifizierung einzelner bösartiger Domains hinausgehen muss und stärker die verknüpfte Infrastruktur, Werkzeuge und Abläufe der Kampagnen in den Blick nimmt.