Fake. Beide Nachrichten gehören zur selben Phishing-Kampagne, die wir bei Mimikama in den letzten Tagen vollständig analysiert haben. Was diese Welle gefährlicher macht als klassisches Phishing: Die Täter wollen nicht nur Passwörter abgreifen, sondern direkt die laufende Facebook-Anmeldung übernehmen – auch ohne dass das Opfer sein Passwort jemals eingibt. Beide Köder – Drohung mit Seitenlöschung und Versprechen eines Gratis-Badges – führen auf nahezu identische Fake-Seiten und gehören zur selben Täter-Infrastruktur. Nicht anklicken, nicht antworten, melden.
Facebook Betrug
Fake-Seitenwarnung im Namen von Facebook
Warnung vor betrügerischen Nachrichten im Namen von Facebook / Meta
↳ Themenbereich: Account gehackt – Hintergründe, typische Muster und weitere Analysen.
Wortlaut der Nachricht
Variante 1 – Drohung mit Seitenlöschung You're Page Monetization at Risk see why. Gestern um 08:42 Important Notice: Page Policy Review We have identified potential policy concerns associated with your page. These concerns may relate to one or more of the following: • Intellectual Property Compliance: Content ownership or licensing verification may be required. • Community Standards Review: Certain posts may require alignment with platform guidelines. • Sensitive Content Assessment: Content is being evaluated to ensure a safe and respectful environment for users. Your page is currently under internal review. During this process, some features may be temporarily limited. If we do not receive your appeal within this time frame, we will proceed with deleting your page, as per our policies. 📎 link provided in the comments section below. 👇 Deutsche Fassung (Facebook-Übersetzung): Wichtiger Hinweis: Überprüfung der Seitenrichtlinien Wir haben potenzielle Richtlinienbedenken im Zusammenhang mit deiner Seite identifiziert. Diese Bedenken können sich auf eines oder mehrere der folgenden Punkte beziehen: • Einhaltung des geistigen Eigentums: Eigentumsrechte oder Lizenzverifizierung können erforderlich sein. • Überprüfung der Gemeinschaftsstandards: Bestimmte Beiträge müssen möglicherweise an die Plattformrichtlinien angepasst werden. • Bewertung sensibler Inhalte: Inhalte werden bewertet, um für die Nutzer eine sichere und respektvolle Umgebung zu gewährleisten. Deine Seite wird derzeit intern überprüft. Während dieses Prozesses können einige Features vorübergehend eingeschränkt sein. Wenn wir Ihren Einspruch innerhalb dieses Zeitraums nicht erhalten, werden wir Ihre Seite gemäß unseren Richtlinien löschen. 📎 Link in den Kommentaren unten. 👇 Variante 2 – Belohnung mit Verifizierungs-Abzeichen 🎉 Congratulations! Claim Your Free Verified Badge Today! We're thrilled to launch our blue tick service at no cost – made to highlight your creativity and strengthen your credibility in the community. No lengthy sign-ups needed — our tools are open for everyone, completely free! Learn more: https:// Don't miss this chance to take your work to the next level. Limited Time — Apply Now! Deutsche Fassung: 🎉 Herzlichen Glückwunsch! Hol dir noch heute dein kostenloses Verifizierungsabzeichen! Wir freuen uns, unseren Blue-Tick-Service kostenlos zu starten – um Ihre Kreativität hervorzuheben und Ihre Glaubwürdigkeit in der Gemeinschaft zu stärken. Keine längeren Anmeldungen nötig – unsere Werkzeuge sind für alle offen, komplett kostenlos! Mehr erfahren: https://
Warum es Fake ist
- Auf den Folgeseiten werden Daten wie „c_user" und „xs" abgefragt. Das sind interne Browser-Cookies einer laufenden Facebook-Anmeldung. Facebook fragt diese Werte nie ab. Wer das in einem Formular sieht, ist immer auf einer Betrugsseite.
- Die Domains form-review-application.surge.sh und congrats-lifetime-badge.surge.sh gehören nicht zu Facebook oder Meta. Beide laufen über surge.sh, einen kostenlosen Hosting-Dienst, der typisch für kurzlebige Wegwerf-Phishing-Seiten ist.
- Die Drohvariante arbeitet mit künstlichem Zeitdruck und der Angst, die eigene Seite zu verlieren. Ein klassisches Erpressungsmuster.
- Die Belohnungsvariante verspricht ein „kostenloses Verifizierungsabzeichen". Meta Verified ist aber ein kostenpflichtiges Abo-Produkt und wird grundsätzlich nicht gratis verteilt.
- Der eigentliche Link versteckt sich in beiden Fällen erst im Kommentar oder im Profil. Echte Meta-Mitteilungen verlinken nicht auf externe Domains.
- Die Sprache wechselt zwischen Englisch und mechanisch übersetzten deutschen Passagen. Untypisch für offizielle Unternehmenskommunikation.
- Im Quellcode der Folgeseiten haben wir Anleitungsvideos in neun Sprachen gefunden, die KI-übersetzt produziert wurden. Eine Aufwandsdimension, die für eine professionelle, organisierte Kampagne spricht.
- Die abgegriffenen Daten werden parallel an einen sichtbaren und einen im Code versteckten zweiten Server geschickt. Redundanz für den Fall, dass eine Meldung den ersten Endpoint abschaltet.
Handlungstipps
- Nicht auf Links in Facebook-Nachrichten, Tag-Kommentaren oder unverlangten Direct Messages klicken, auch wenn der Absender bekannt wirkt.
- Niemals Daten wie „c_user", „xs" oder andere Cookie-Werte in ein Online-Formular eintragen. Facebook fragt diese Werte zu keinem Zeitpunkt ab.
- Die Domain in der Adresszeile prüfen, bevor man etwas eingibt. Echte Facebook-Seiten laufen auf facebook.com oder meta.com, nicht auf surge.sh, xyz oder ähnlichen Fremd-Hostings.
- Verdächtige Posts und Kommentare direkt in Facebook melden über die drei Punkte rechts oben unter „Beitrag melden".
- Schon Daten eingegeben? Sofort auf einem anderen Gerät bei Facebook einloggen, unter „Wo bist du angemeldet?" alle aktiven Sitzungen abmelden und Passwort ändern. Eine vollständige Schritt-für-Schritt-Anleitung mit allen offiziellen Meta-Anlaufstellen findet sich in unserem Recovery-Leitfaden.
- Bei eigenen Pages oder einem Business Manager zusätzlich prüfen, ob Admin-Rechte verändert wurden oder unbekannte Werbekampagnen laufen.
- Im Zweifel die offizielle Meta-Hilfe manuell über facebook.com/help aufrufen, niemals über einen Link aus einer Nachricht.
Weitere Informationen
Ausführliche Hintergründe und Schutzmaßnahmen:
Passende Themenseiten
Hinweis der Redaktion
Wir bei Mimikama haben den Quellcode beider Phishing-Seiten – form-review-application.surge.sh und congrats-lifetime-badge.surge.sh – Zeile für Zeile analysiert. Beide nutzen identische KI-Übersetzungs-Videos, identische Sprachfassungen und vergleichbare Datenabflussstrukturen. Das sind starke Indizien für eine gemeinsame Kampagne mit mehreren parallelen Landing-Pages.
Auffällig im Code: Eine Geo-Filterung, die Pakistan-IPs gezielt ausschließt, sowie vulgäre Hindi-Schimpfwörter als interne Variablennamen. Beides zusammen deutet auf den südasiatischen Raum als Täter-Region hin, ohne dass es ein endgültiger Beweis wäre.
Unsere Analyse der Masche:
https://www.mimikama.org/facebook-phishing-page-nur-koeder-profil-ziel/
Was Betroffene jetzt tun sollten:
https://www.mimikama.org/facebook-konto-gehackt-recovery-anleitung/
