Logotype
Back

Ricardo-Datenleck befeuert WhatsApp-Phishing

Security Incidents DE · Medium sophistication
Last updated October 17, 2026

Nach einem Sicherheitsvorfall beim Schweizer Online-Marktplatz Ricardo könnten Angreifer Namen, Adressen und Telefonnummern von rund 890.000 Konten für überzeugende Betrugsversuche nutzen. Parallel wurden WhatsApp-Nachrichten beobachtet, die sich als Ricardo-Kundendienst ausgaben und Nutzer auf gefälschte Webseiten zum Diebstahl von Zugangsdaten lockten. Ein direkter Zusammenhang zwischen dem Datenleck und den Phishing-Nachrichten ist nicht belegt.

Key findings

  • Ricardo meldete unbefugten Zugriff auf personenbezogene Daten von rund 890.000 Nutzerkonten.
  • Betroffen waren Namen, Postadressen und Telefonnummern; Passwörter und E-Mail-Adressen sollen nicht offengelegt worden sein.
  • Betrüger gaben sich in WhatsApp-Nachrichten als Ricardo-Kundendienst aus.
  • Die Nachrichten nutzten korrekte Namen und Adressen, um Empfänger auf gefälschte Webseiten zur Zugangsdaten-Abfrage zu locken.
  • Ob die für das Phishing verwendeten Daten aus dem Ricardo-Vorfall stammen, ist nicht nachgewiesen.

Who’s being targeted

  • Commonly targeted roles: Kundenservice, E-Commerce-Nutzer, Mitarbeitende mit Online-Marktplatzkonten, Mitarbeitende mit Zugriff auf Kundenkonten.
  • Affected industries: Online-Marktplätze, Einzelhandel, E-Commerce.
  • Attack channels: whatsapp, website.
  • Impersonated: Ricardo-Kundendienst.

Awareness takeaways

  • Vertrauen Sie einer WhatsApp-Nachricht nicht allein deshalb, weil sie Ihren richtigen Namen oder Ihre Adresse enthält; diese Daten können aus Lecks oder anderen Quellen stammen.
  • Öffnen Sie keine Links aus unerwarteten Kundendienst-Nachrichten. Rufen Sie Ricardo stattdessen über die bekannte App oder die selbst eingegebene offizielle Website auf.
  • Geben Sie Zugangsdaten niemals auf einer Seite ein, die über einen unerwarteten Messenger-Link erreicht wurde.

Red flags to watch for

  • Unaufgeforderte Kontaktaufnahme über WhatsApp statt über den erwarteten Ricardo-Kanal.
  • Ein Link führt auf eine gefälschte Website.
  • Die Nachricht fordert die Eingabe von Zugangsdaten, obwohl die korrekten persönlichen Daten genannt werden.
Try Mirage

Mirage safely runs attacks like this one against your own team, so you find out what happens before a real adversary does.

Get a demo
Read the video transcript

Ricardo-Kundendienst per WhatsApp – und die kennen deine Adresse? Die Nachricht sagt: «Wir kontaktieren Sie zu Ihrem Konto unter Ihrer bei uns hinterlegten Adresse.» Dann kommt ein Link zur angeblichen Ricardo-Seite, die deine Zugangsdaten abfragt. Der Knackpunkt: Ein richtiger Name macht die Nachricht nicht echt. Bei Ricardo waren Namen, Adressen und Telefonnummern von rund 890.000 Konten betroffen. Ob diese WhatsApp-Daten daher stammen, ist unklar. Dein nächster Schritt: Öffne Ricardo selbst über die bekannte App oder die eigenhändig eingegebene Website – nicht über den WhatsApp-Link.

MITRE ATT&CK techniques

T1566.003 · Spearphishing via ServiceT1656 · Impersonation

Categories

Retail
Original reporting: Security Incidents DE
How we produce these breakdowns

Similar attacks

Poipet Scam Ring Used ChatGPT for Romance & Fines

Poipet Scam Ring Used ChatGPT for Romance & Fines

OpenAI says it disrupted a Cambodia-based scam network operating from Poipet that used ChatGPT to scale romance, investment, gambling, and law-enforcement impersonation scams. The group used messaging apps to build trust, then pressured victims to pay deposits, activation fees, or fake fines,…

August 5, 2026
Microsoft Takes Down Billion-Message Phish Supply Chain

Microsoft Takes Down Billion-Message Phish Supply Chain

Microsoft says it uncovered and disrupted an underground marketplace (“YAM Store”) that sold phishing kits and access to cloud accounts, enabling massive global phishing and SMS scam campaigns. The operation allegedly supported over a billion scam messages since January 2026 and targeted 75,000+…

October 15, 2026
Handala Uses Fake “Support” Chats to Drop Malware

Handala Uses Fake “Support” Chats to Drop Malware

Researchers linked the Iran-aligned Handala Hack persona to a Telegram-controlled backdoor (HEAVYGRAM) that can steal passwords and exfiltrate chat data. The campaign reportedly starts with social engineering on messaging apps (Telegram, WhatsApp, Instagram), where the attacker pretends to offer…

September 18, 2026
Iranian “Chosen Brick” Lures Sent via Telegram

Iranian “Chosen Brick” Lures Sent via Telegram

UK, US, and Dutch agencies warned that Iranian state-linked actors used social messaging apps to build trust with dissidents, journalists, and activists before sending disguised files that install Windows malware. The attackers often impersonated someone the target already knows or “technical…

September 17, 2026
Wrong-Number Texts That Turn Into Scams

Wrong-Number Texts That Turn Into Scams

The article describes how “wrong-number” SMS messages are used as a first-step social engineering test to identify people who will engage with strangers. If the target replies, scammers may either build a long relationship that leads to fake investment fraud (“pig butchering”) or recycle the…

August 19, 2026
OpenAI: ChatGPT Aided Cambodia Scam Network

OpenAI: ChatGPT Aided Cambodia Scam Network

OpenAI says it shut down a coordinated network of ChatGPT accounts linked to Cambodia that supported multiple real-world scams, including investment, romance, gambling, and law-enforcement impersonation. The group used AI to create fake personas, translate and generate persuasive messages on…

August 3, 2026

See Mirage in Action?

Discover how Mirage exposes your actual human risk, tests defenses, and drives staff training with modern, realistic attack scenarios, long before adversaries seize the opportunity to breach you.

Get a demo