HKCERT warnt vor gefälschten Wasserrechnungen aus Hongkong

Betrüger nutzen täuschend echte Fake-Rechnungen der Hongkonger Wasserbehörde, um sensible Daten zu stehlen. Die Behörden warnen vor der neuen Angriffswelle und geben konkrete Schutzmaßnahmen.

Phishing-Betrüger imitieren die Hongkonger Wasserbehörde mit täuschend echten Fake-Rechnungen, um an sensible Daten zu gelangen. Die koordinierte Warnung von Behörde und CERT unterstreicht eine wachsende Bedrohungslage, bei der zunehmend essentielle Dienstleistungen für Angriffe missbraucht werden.

So funktionieren die Fake-Wasserrechnungen

Die Betrüger setzen auf erfundene Dringlichkeit. Laut einer Sicherheitswarnung des Hong Kong Computer Emergency Response Team (HKCERT) vom 16. März 2026 erhalten Nutzer SMS oder E-Mails. Diese geben vor, von der Water Supplies Department (WSD) zu stammen und fordern eine sofortige Aktualisierung der Kontodaten oder die Begleichung einer kleinen Nachzahlung, um eine Sperrung zu vermeiden.

Anzeige

Phishing-Angriffe werden immer raffinierter und zielen verstärkt auf private Daten ab, die wir täglich auf unseren Mobilgeräten nutzen. Dieser kostenlose Ratgeber zeigt Ihnen in 4 einfachen Schritten, wie Sie sich effektiv vor Hacker-Methoden und betrügerischen Nachrichten schützen. Anti-Phishing-Paket jetzt kostenlos anfordern

Die Nachrichten enthalten Links zu gefälschten Websites, die dem offiziellen Portal der Wasserbehörde täuschend ähnlich sehen. Auf den Fake-Login-Seiten werden Kreditkartendaten und persönliche Informationen abgefragt. Ein vermeintlicher Sicherheitsschritt, der eine Telefonnummer verlangt, ließ sich in Tests mit beliebigen Ziffern umgehen – ein klares Zeichen für betrügerische Absichten.

Bereits am 6. März 2026 hatte die WSD klargestellt: Die Behörde verschickt nie Links in SMS oder E-Mails, die zu externen Zahlungsseiten führen. Echte Rechnungs-E-Mails kommen ausschließlich von autorisierten WSD-Domains. Zertifizierte SMS der Behörde sind zudem am „#“-Präfix in der Absenderkennung zu erkennen.

Phishing auf Rekordniveau: KI macht Betrug perfekt

Der Angriff auf Versorgungskunden passt in ein bedrohliches Gesamtbild. Im „Hong Kong Cybersecurity Outlook 2026“ verzeichnete das HKCERT für 2025 einen Rekord von 15.877 Sicherheitsvorfällen – ein Plus von 27 Prozent im Jahresvergleich.

Fast 60 Prozent aller Vorfälle waren Phishing-Angriffe. Experten führen den Anstieg auch auf Generative Künstliche Intelligenz (KI) zurück. Sie ermöglicht es Kriminellen, fehlerfreie und lokal angepasste Texte in mehreren Sprachen zu erstellen. Die Fälschungen werden damit für Laien kaum noch von echten behördlichen Schreiben zu unterscheiden sein.

Anzeige

Ob Banking, Shopping oder behördliche Dienste – die Sicherheit Ihrer Daten auf dem Smartphone ist durch moderne KI-gestützte Angriffe gefährdeter denn je. Erfahren Sie in diesem Gratis-Leitfaden, welche 5 Sofortmaßnahmen Ihr Android-Gerät zuverlässig vor Internet-Kriminalität und Datenklau schützen. Kostenlosen Sicherheits-Ratgeber herunterladen

Ein weiteres Problem: Laut der Studie fehlt in fast 30 Prozent der lokalen Unternehmen spezielles Cybersicherheits-Personal. Diese Lücke zwingt Organisationen und Privatpersonen gleichermaßen, sich stark auf eigene Wachsamkeit und Aufklärungskampagnen zu verlassen.

So können sich Nutzer schützen

Die Behörden reagieren koordiniert. Die WSD hat die betrügerischen Domains der Polizei gemeldet, die sie in ihrem Online-Risikobewertungstool „Scameter“ als hochriskant markiert hat.

HKCERT und WSD raten dringend:
* Keine Links aus unbekannten Quellen anzuklicken, insbesondere bei Nachrichten mit drängenden Formulierungen.
* Das Wasser-Konto nur über die manuelle Eingabe der offiziellen WSD-Webadresse oder die offizielle „eWater“-App zu verwalten.
* Bei Verdacht auf Datenpreisgabe sofort die Bank zu kontaktieren und die Transaktionen zu sperren.
* Den Vorfall bei der Polizei zu melden und die 24-Stunden-Anti-Betrugs-Hotline zu nutzen.

Analyse: Warum gerade Wasserrechnungen?

Der Betrug über Versorger-Rechnungen ist strategisch klug. Die Rechnungen sind alltäglich, wiederkehrend und erzeugen beim Empfänger natürlicherweise Handlungsdruck. Die Androhung einer Sperrung der Wasserversorgung umgeht die Skepsis, die Nutzer bei unerwarteten Nachrichten von Banken oder Händlern vielleicht hätten.

Die perfekten Fälschungen zeigen auch, wie einfach der Start überzeugender Cyberangriffe geworden ist. Mit modernen Phishing-Kits lassen sich behördliche Oberflächen kopieren und SMS automatisiert verteilen. Experten warnen: Da diese Tools immer zugänglicher werden, wird das Volumen solcher Angriffe hoch bleiben. Dies könnte das Vertrauen in digitale Behördendienste untergraben und die Akzeptanz von Smart-City-Initiativen bremsen.

Ausblick: Mehr Aufklärung und sichere Identitäten nötig

Die Abwehr von Behörden-Imitationen erfordert anhaltende Investitionen in Technologie und Bildung. Die Digital Policy Office wird mit HKCERT und der Polizei Aufklärungskampagnen wie „Building a Secure Cyberspace 2026“ ausbauen.

Langfristig dürften Behörden auf zentrale, sichere digitale Identitätssysteme setzen, um traditionelle SMS und E-Mails zu ersetzen. Bis dahin bleibt eine gesunde digitale Skepsis der beste Schutz: Jede unaufgeforderte Aufforderung zur Zahlung oder Datenpreisgabe sollte mit äußerster Vorsicht behandelt werden. Regelmäßige Updates der Anti-Betrugs-Tools und die Überwachung nicht registrierter Domains bleiben 2026 kritische Bausteine der Verteidigungsstrategie.