WhatsApp-Betrug: ITD.zip-Malware stiehlt Banking-Daten und OTPs
Veröffentlicht am: 02.08.2026 um 07:33 Uhr | Redaktion boerse-global.de
Sicherheitsexperten haben eine dringende Warnung vor einer neuen Betrugswelle über den Messengerdienst WhatsApp herausgegeben. Kriminelle versenden derzeit gefälschte Einkommensteuerbescheide, um Schadsoftware auf den Geräten der Nutzer zu installieren. Diese Kampagne nutzt die aktuelle Saison zur Abgabe von Einkommensteuererklärungen aus, um mit offiziell wirkenden Dokumenten sensible Finanz- und Identitätsdaten zu entwenden.
Funktionsweise der ITD.zip-Malware auf verschiedenen Plattformen
Ein am 1. August veröffentlichter Bericht des Cybersicherheitsunternehmens CloudSek detailliert die technische Vorgehensweise der Angreifer. Kern der Kampagne ist eine Schadsoftware, die unter der Bezeichnung „ITD.zip“ verbreitet wird. Die Dateigrößen der Malware-Archive variieren dabei zwischen 2 MB, 34 MB und 35 MB.
Nach Erkenntnissen von CloudSek zielt die Malware auf unterschiedliche Betriebssysteme ab:
- Android: Auf mobilen Endgeräten ist die Software in der Lage, SMS-Nachrichten und Einmalpasswörter (OTPs) abzufangen. Zudem können Kontakte ausgelesen und sämtliche Tastatureingaben protokolliert werden. Durch sogenannte Overlay-Angriffe werden zudem Banking-Apps manipuliert, um Zugangsdaten direkt beim Login abzugreifen.
- Windows: Auf Desktop-Systemen ermöglicht die Malware den Angreifern einen vollständigen Fernzugriff auf den infizierten Rechner.
Zusätzlich zu der direkten Infektion über Dateianhänge setzen die Hintermänner auf gefälschte E-Filing-Websites. Diese Klone offizieller Portale dienen dazu, persönliche Informationen wie die Permanent Account Number (PAN), Aadhaar-Daten, Passwörter sowie Bankverbindungen und OTPs zu stehlen.
Da Kriminelle verstärkt versuchen, über manipulierte Apps und Nachrichten sensible Daten auf mobilen Endgeräten abzugreifen, ist ein proaktiver Schutz unverzichtbar. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Android-Smartphone wirksam gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Manipulation durch Behördensymbolik und künstlichen Zeitdruck
Die Angreifer gehen bei der Gestaltung der Nachrichten hochprofessionell vor, um die Glaubwürdigkeit der Täuschung zu erhöhen. Die über WhatsApp versendeten Dokumente sind mit offiziellen Regierungsemblemen versehen und nehmen Bezug auf spezifische gesetzliche Regelungen, darunter die Abschnitte 271(1)(c) und 276C des Steuerrechts.
Um die Opfer zu unüberlegten Handlungen zu verleiten, wird in den gefälschten Bescheiden ein fiktiver Beamter namens „Raj Kumar Sharma, ACIT“ als Absender genannt. Zudem wird eine strikte Frist von lediglich 72 Stunden gesetzt, innerhalb derer der Empfänger reagieren müsse. Shobhit Mishra von CloudSek betonte in diesem Zusammenhang, dass die Strategie der Angreifer massiv auf der Ausnutzung von Vertrauen und der Erzeugung von künstlicher Dringlichkeit basiere. Bereits Ende Juli beobachteten die Analysten von CloudSek, dass Cyberkriminelle die laufende Phase der Steuererklärungen – die Abgabefrist endet am 15. September 2026 – gezielt für ihre Aktivitäten einplanen.
Offizielle Reaktionen und Sicherheitsempfehlungen
Die Einkommensteuerbehörde reagierte am 1. August auf die Vorfälle und stellte klar, dass grundsätzlich keine offiziellen Steuerbescheide über WhatsApp versendet werden. Steuerzahler wurden dazu aufgerufen, die Echtheit von Bescheiden ausschließlich über das offizielle Portal unter incometax.gov.in zu überprüfen.
Wer im Alltag regelmäßig Online-Banking, WhatsApp oder Online-Shopping nutzt, sollte die Sicherheitseinstellungen seines Geräts nicht dem Zufall überlassen. Erfahren Sie in diesem gratis PDF-Sicherheitspaket, wie Sie den Zugriff durch Unbefugte verhindern und Ihre privaten Daten effektiv schützen. Kostenlosen Sicherheits-Ratgeber herunterladen
Sicherheitsexperten weisen auf mehrere Warnsignale hin, die auf einen Betrugversuch hindeuten. Dazu gehören neben dem Versandweg über WhatsApp und der extrem kurzen 72-Stunden-Frist vor allem verdächtige Web-Links mit Endungen wie .lol, .xin, .ink oder .autos. Auch Anhänge im ZIP- oder EXE-Format sollten bei Nachrichten von unbekannten Absendern keinesfalls geöffnet werden.
Für den Fall eines Kontakts mit derartigen Nachrichten werden folgende Maßnahmen empfohlen:
* Verdächtige Nachrichten sofort ignorieren und keine Anhänge öffnen.
* Sollte eine Datei bereits ausgeführt worden sein, muss die Internetverbindung des Geräts umgehend getrennt werden.
* Wichtige Passwörter sollten von einem sauberen Gerät aus geändert und die Zwei-Faktor-Authentisierung (2FA) aktiviert werden.
* Betroffene Geräte müssen mit aktueller Sicherheitssoftware gescannt werden.
* Vorfälle sollten den zuständigen Behörden über die Notrufnummer 1930 oder das nationale Cybercrime-Portal gemeldet werden.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
