Nordmazedonien verhaftet mutmaßlichen OLVX-Marktplatz-Admin: Gemeinsame FBI-Aktion beendet Marktplatz für gestohlene Daten
In Nordmazedonien ist ein 20-jähriger Mann festgenommen worden, weil er verdächtigt wird, den Cybercrime-Marktplatz OLVX betrieben zu haben, auf dem gestohlene personenbezogene Daten und Zugangsdaten verkauft wurden. Die Festnahme erfolgte gemeinsam durch die Cyberkriminaleinheit des Landes und das FBI, wie The Record berichtet. Der Marktplatz war rund zwei Jahre lang aktiv, etwa von 2023 bis 2025, und der illegale Umsatz über die Plattform soll Berichten zufolge 500.000 US-Dollar überschritten haben.
Eine gemeinsame Razzia in einem Dorf
Bei der Operation arbeiteten die Cybercrime-Ermittler Nordmazedoniens mit dem FBI zusammen. Nach Angaben von The Record, das am 14. Oktober über den Fall berichtete, durchsuchten die Beamten das Haus des Verdächtigen in einem Dorf und nahmen ihn fest. Die bei der Durchsuchung beschlagnahmten Geräte wurden anschließend untersucht, und das dabei gefundene Material ist nun Teil der Beweismittel im Fall. Das Cybercrime-Programm des Europarats, das das Land in Cybercrime-Fragen und bei der internationalen Zusammenarbeit unterstützt, hat die Zerschlagung des illegalen Marktplatzes in einer Erklärung auf seiner Website zur Kenntnis genommen. Bestätigende Berichte erschienen anschließend bei Fachmedien, darunter The Cyber Express. Solche Razzien folgen meist Monaten stiller Zusammenarbeit zwischen den beteiligten Diensten, in denen Beweise grenzüberschreitend zusammengetragen werden, bevor eine Festnahme versucht wird. Was OLVX verkaufte
OLVX war kein Drogenmarkt und kein Waffenbazar. Es ging um Daten. Auf der Plattform boten Verkäufer gestohlene personenbezogene Daten und Zugangsdaten an, und nach Angaben von The Record waren über die Lebensdauer der Seite mehr als 1.500 Verkäuferkonten aktiv. CyberScoop schreibt unter Verweis auf Zahlen aus dem Fall, dass die illegalen Verkäufe über den Marktplatz Berichten zufolge 500.000 US-Dollar überstiegen. Der Markt lief von etwa 2023 bis 2025 und ging danach offline. Die öffentliche Berichterstattung nennt das genaue Angebot der Seite nicht, wobei Plattformen dieser Art typischerweise Credential-Dumps, Konto-Logins und personenbezogene Datensätze listen, die aus Infostealer-Infektionen oder kompromittierten Datenbanken stammen. - Aktiv von etwa 2023 bis 2025
- Mehr als 1.500 Verkäuferkonten insgesamt
- Hauptware: gestohlene personenbezogene Daten und Zugangsdaten
- Illegale Verkäufe laut Berichten über 500.000 US-Dollar
Märkte dieser Art stehen am Anfang einer Lieferkette. Dort verkaufte Zugangsdaten und Datensätze stammen typischerweise aus Infostealer-Malware oder Lecks kompromittierter Dienste und werden an Käufer weiterverkauft, die sie für Account-Übernahmen, Zahlungsbetrug oder den erneuten Weiterverkauf nutzen. Eine Ecke dieses Handels haben wir in unserem Artikel über den Verkauf von Darkweb-Zugängen beleuchtet, in dem es darum geht, wie Zugänge zu kompromittierten Konten und Systemen verpackt und bepreist werden. Das Abschalten eines Angebots wie OLVX unterbricht diese Kette an der Vertriebsstelle, erreicht aber selten die Betreiber weiter vorn in der Kette, die die Ware erst herstellen. Die Telegram-Gruppe ONEMILI
Der Verdächtige ist zudem mit ONEMILI verbunden, einer Telegram-Gruppe, die er angeblich betrieb und die zur Koordination von Refund-Fraud-Betrügereien genutzt wurde. Refund-Fraud missbraucht in der üblichen Form die Rückgaberichtlinien von Händlern: Einkäufe werden mit gestohlenen oder kontrollierten Zahlungsmitteln getätigt, und der Täter manipuliert anschließend den Erstattungsprozess, sodass das Geld zurückfließt, während die Ware oder der Erlös beim Täter bleibt. Die daraus entstehenden Verluste tragen Händler und Zahlungsanbieter. Telegram-Gruppen zu diesen Techniken agieren vergleichsweise offen und sind zu Standardorten geworden, an denen Methoden, Werkzeuge und gestohlene Daten den Besitzer wechseln. Nach Angaben von The Record wurde die Gruppe von demselben Verdächtigen betrieben, der nun festgenommen wurde. Getrennte Vorwürfe im selben Fall
Die Durchsuchung förderte auch einen schwerwiegenderen Strang zutage. Nach Berichten von The Record wurden auf den beschlagnahmten Geräten Beweise für kinderpornografische Inhalte gefunden, die mit der Telegram-Nutzung des Verdächtigen in Verbindung stehen. Dieser Befund ist von den Marktplatz-Vorwürfen getrennt und könnte zu weiteren Anklagepunkten führen. Einzelheiten der Anklage sind bislang nicht öffentlich, und wie das Verfahren vor den nordmazedonischen Gerichten verläuft, bleibt abzuwarten. Was der Fall über Takedowns aussagt
Operationen gegen Datenmärkte mittlerer Größe sind zu einem routinemäßigen Ergebnis der Zusammenarbeit zwischen US-Behörden und Polizeikräften in Südosteuropa geworden. Das Muster ist aus früheren Fällen bekannt: Die lokalen Ermittler führen Razzia und Beschlagnahmen durch, während die US-Partner zu Zuschreibung und Fallaufbau beitragen. Die öffentliche Anerkennung durch Europaratsstrukturen zeigt, wie sehr die Strafverfolgung in der Region von grenzüberschreitenden Cybercrime-Rahmenwerken für koordiniertes Vorgehen dieser Art abhängt. Es ist dieselbe Arbeitsteilung wie bei vielen Takedowns der letzten Jahre. Für die ehemaligen Nutzer des Marktplatzes ist die praktische Folge die übliche: Ein Angebot verschwindet, und die Aktivität verlagert sich woandershin. Für alle, die die Untergrund-Datenwirtschaft beobachten, ist der Fall eine weitere Erinnerung daran, dass der Betrieb einer Plattform für gestohlene Zugangsdaten und personenbezogene Daten ein reelles Verhaftungsrisiko birgt, auch in Jurisdiktionen, die von Betreibern mitunter als unerreichbar galten.
