Die Vorgehensweise ist ebenso einfach wie effektiv. Man erstellt eine gefälschte Bank-Website, fragt die Zugangsdaten der Kunden ab und gibt dann vor, es liege eine Störung vor. In der Zwischenzeit können die abgefangenen Daten schnell genutzt werden, um sich an ihrer Stelle anzumelden. Genau das ist vielen Kunden der Bil in den letzten Monaten passiert. Als sie über ihre Suchmaschine auf die Website zugreifen wollten, sind sie darauf hereingefallen. Auf den ersten Blick sah alles ganz normal aus. Die Kunden klickten auf den ersten von ihrer Suchmaschine vorgeschlagenen Link und landeten auf einer Oberfläche, die ihnen bekannt vorkam. Ausgeraubt stehen die Kunden der Bil nun in einer peinlichen Lage: Zunächst die Scham, hereingelegt worden zu sein, dann die Reaktion des Bankpersonals. Sie haben gerade eine WhatsApp-Gruppe gegründet. Juliana Mondo ist eine der Sprecherinnen. „Ich bin zum Schalter der Bil gegangen und dort herrschte Chaos“, erzählt sie dem Land. „Niemand wusste, was los war, und später wurde ich fast als Idiotin behandelt. Die Polizei war bei meiner Anzeige viel verständnisvoller.“
Die betrügerische Website hätte den Dienststellen der Bil bekannt sein müssen. Bereits im Juli 2023 hatte die Finanzaufsichtsbehörde (CSSF) eine Warnung bezüglich „betrügerischer Aktivitäten unter dem Namen der Bil“ veröffentlicht. Eine in Belgien unter der URL biloserclient.com gelistete Website stand damals im Fokus der CSSF. „Diese Warnung wurde anschließend an die Bil weitergeleitet“, bestätigt die CSSF gegenüber dem Land. Damals scheint es keine konkreten Maßnahmen seitens der Bank gegeben zu haben, um die betrügerische Website zu schließen. Ein Jahr später, am 9. April 2024, wurde dieselbe Warnmeldung bezüglich derselben betrügerischen Website erneut veröffentlicht. Das Fortbestehen dieser Websites lässt sich laut CSSF durch ihre Anpassungsfähigkeit erklären: „Man kann zwar eine Warnung veröffentlichen, aber die Website wird von selbst geschlossen, bevor man Zeit hat, zu handeln. Und sie kann jederzeit wieder auftauchen.“
Domainnamen wie bil.com können kostengünstig bei Webhosting-Anbietern erworben werden, sofern sie verfügbar sind. So sichern sich Betrüger ähnliche URLs, um ihre Opfer zu täuschen. Bei der Durchsicht der Datenbanken der Webhosting-Anbieter konnte das Land feststellen, dass mehrere Domainnamen, die bil.com ähneln, zum Kauf verfügbar sind. Laut my.lu, einer Plattform, die die Verfügbarkeit luxemburgischer Adressen auflistet, gehören die URLs bii.lu, bils.lu, bilclient.lu oder bilnets.lu derzeit niemandem und könnten zur Erstellung einer gefälschten Website genutzt werden. Im Kampf gegen Betrug hätte die luxemburgische Bank sicherstellen können, dass keine ähnlichen Namen bei den Hosting-Anbietern verfügbar sind. Derzeit ist der Domainname biloserclient.com laut gandi.net wieder verfügbar.
Angesichts der zahlreichen Beschwerden empfiehlt die Bil ihren Kunden heute, den Link bei Verbindungsversuchen zu überprüfen, bevor sie ihn in ihrem Webbrowser speichern. Auf dem Smartphone ist es immer noch sicherer, die entsprechende App zu nutzen. Diese Vorsichtsmaßnahme der Bil berücksichtigt jedoch nicht die Schwierigkeiten, mit denen Senioren konfrontiert sein können. Juliana Mondo erinnert daran, dass „ein 87-jähriger Mann am 27. Juli erneut hereingelegt wurde“. Die Sprecherin der Opfergruppe versteht nicht, „wie diese Website so lange bestehen konnte“.
Nach Angaben dieser Kunden will die Bil keine Verantwortung übernehmen und schiebt die Schuld den Opfern in die Schuhe. Die Bank verweist für jegliche Entschädigung auf das Finanztransaktionsunternehmen Worldline. Die Kunden sollten „wachsam“ sein, so die Bil. Der luxemburgische Verbraucherverband erklärte am vergangenen Freitag gegenüber der Zeitung „Le Quotidien“, dass „die Banken den Opfern solcher Betrugsfälle keine Entschädigung zahlen, sondern ein grobes Verschulden des Kunden nachweisen müssen“.
Grundsätzlich, so erinnert die Bil, sollte die doppelte Identifizierung durch LuxTrust solche Situationen verhindern. Selbst wenn Kunden ihre Zugangsdaten an Kriminelle weitergeben, bräuchten diese dennoch die Bestätigung durch LuxTrust, um eine Überweisung durchzuführen. Die Opfer hätten die Überweisung also über ihre mobile App bestätigt. Alice Pauly kann sich jedoch nicht daran erinnern, „beim Einloggen und bei der Überweisung eine Benachrichtigung von LuxTrust erhalten zu haben“. Zudem beklagt sie, dass ihre Bank sie zum Zeitpunkt der Überweisung nicht kontaktiert habe: „Bei solchen hohen Beträgen sollten sie mich anrufen.“ Am 5. Juli wurde eine Überweisung in Höhe von 6.500 Euro von ihrem Konto getätigt. Aus unbekannten Gründen schickte ihr der Betrüger, der Empfänger der Überweisung, fünf Tage später sechs Euro zurück.
Die Gruppe der Betroffenen wird sich am 7. September treffen, um das weitere Vorgehen zu besprechen. Innerhalb von zwei Monaten ist diese Gruppe erheblich gewachsen. Mittlerweile umfasst sie etwa sechzig Personen, die auf die Unterstützung der Politik hoffen. Sie freuen sich, dass ihr Fall durch eine parlamentarische Anfrage der Sozialisten Ben Polidori und Mars Di Bartolomeo bis in die Abgeordnetenkammer gelangt ist. Von der Zeitung „Le Land“ dazu befragt, wollte die Bil nicht weiter darauf eingehen. Sie kündigt an, sich im September öffentlich zu äußern.
