Digitaler Betrug gefährdet philippinische Wirtschaft durch illegale Kontennetzwerke

Die philippinische Wirtschaft steht vor einem massiven finanziellen Risiko: Ohne verstärkte Sicherheitsvorkehrungen könnten jährlich etwa 603 Milliarden PHP verloren gehen. Dies entspricht fast 3 % des nationalen Bruttoinlandsprodukts (BIP), so ein gemeinsamer Bericht von IDfy Philippines und CIBI Information, Inc.

In dem Whitepaper mit dem Titel „Mule Hunting: Are We Chasing Ghosts?“ wurden Transaktionsdaten der Bangko Sentral ng Pilipinas (BSP) analysiert. Für das Jahr 2025 verzeichneten die Systeme PESONet und InstaPay ein kombiniertes Transaktionsvolumen von 24,74 Billionen PHP. Davon waren schätzungsweise 1,088 Billionen PHP durch digitalen Betrug gefährdet. Etwa 55,4 % dieser Risiken hängen direkt mit Betrugsmaschen wie sogenannten Authorized Push Payment (APP) Scams oder der Übernahme von Konten (Account Takeover, ATO) zusammen, bei denen sogenannte „Mule Accounts“, illegale Konten, die zur Geldwäsche oder zum Abfluss gestohlener Gelder genutzt werden, eine zentrale Rolle spielen.

Die Ursache für diese Verwundbarkeit liegt in der rasanten Digitalisierung des Landes. Die Philippinen erreichten bereits 2023 das Ziel, 52,8 % der Einzelhandelszahlungen digital abzuwickeln, und übertrafen damit die ursprüngliche Zielsetzung von 50 % drei Jahre früher als geplant. Diese schnelle Entwicklung schuf jedoch Lücken, die von transnationalen Syndikaten ausgenutzt werden. Trotz des enormen Ausmaßes der Schattenwirtschaft liegt die offizielle Melderate von Cyberkriminalität bei unter 2 %. CICC zeigen zwar, dass 34 % der Filipinos bereits finanzielle Verluste durch Betrug erlitten haben, doch zeigen die Betroffenen aufgrund geringer Transaktionswerte und rechtlicher Komplexität selten formelle Anzeigen. Dies ermöglicht es den manipulierten Konten, über Monate hinweg aktiv zu bleiben.

Nach Daten des National Bureau of Investigation (NBI) werden zwischen 60 % und 70 % dieser Konten durch freiwillige Teilnahme bereitgestellt. Es existiert ein florierender Markt für „Mule-for-Hire“, auf dem verifizierte Bank- und E-Wallet-Konten in Mengen für Beträge zwischen 500 und 5.000 PHP gekauft werden. Die restlichen 30 % bis 40 % der Konten werden durch Täuschung erlangt, etwa durch Betrug bei Liebesbeziehungen oder gefälschte Angebote für Remote-Jobs.

Aufgrund des Anti-Financial Account Scamming Act (AFASA) und des BSP-Rundschreibens 1213 steigt der regulatorische Druck auf Finanzinstitute massiv an. Die Haftung für Betrugsschäden verschiebt sich damit von den Verbrauchern hin zu den Banken. Institute, die keine Echtzeit-Betrugsmanagement-Systeme einsetzen, müssen sich auf eine unbegrenzte Rückerstattungspflicht für Kundenverluste einstellen. Zudem untersagt das Rundschreiben die Nutzung von OTP für hochriskante Aktionen wie Überweisungen oder Änderungen von Zugangsdaten; diese dürfen nur noch bei der Ersteinrichtung eines Kontos verwendet werden.

Raghuraman Chandrashekhar, Landesleiter von IDfy Philippines, erklärte, dass das Festhalten an abfangbaren OTPs unter dem AFASA-Gesetz zu einer direkten finanziellen Haftung für Institute führt. Er betonte, dass eine effektive Verteidigung nur durch eine Kombination aus Gerätekennung, KI-gestützter Transaktionsüberwachung und biometrischer Verifizierung erreicht werden könne. Experten fordern daher eine mehrschichtige Architektur, die unter anderem den Austausch von Betrugsinformationen (Fraud Intelligence Data Sharing, FIDS) und KI-basierte Überwachung umfasst.