Woche 35: Skimming bei Essenslieferdienst - Statt einem vollen Magen eine leere Kreditkarte
Um an Kreditkartendaten zu kommen, benutzen Betrüger verschiedene Wege. Neben dem klassischen Phishing, bei dem Betroffene ihre Kartendaten auf einer täuschend echt wirkenden Webseite eingeben, können Kreditkarteninformationen auch durch Datenlecks bei Online-Dienstleistern in die Hände von Kriminellen gelangen. Ein dem BACS gemeldeter Fall zeigt eine weitere Vorgehensweise: Bei einem Essenslieferdienst wurde versucht, mittels «Webseiten-Skimming» auf der legitimen Webseite Kreditkartendaten zu stehlen.
Viele Nutzerinnen und Nutzer verbinden den Diebstahl von Kreditkartendaten in erster Linie mit Phishing-Webseiten. Beim sogenannten Skimming erfolgt der Datendiebstahl hingegen auf einer legitimen Webseite. Dazu manipulieren die Täter die Originalseite eines Webshops oder eines anderen Online-Dienstes und integrieren schädlichen Code. Dieser erfasst die eingegebenen Kreditkartendaten und übermittelt sie an die Angreifer.
Möglichkeiten für die Manipulation einer Webseite
Damit ein Angreifer den Inhalt oder die Logik einer Webseite verändern kann, muss er Code oder Daten auf den Server einschleusen können. Angriffsszenarien sind in diesem Zusammenhang das Ausnutzen einer Schwachstelle in der Webanwendung oder dem verwendeten Content Management System (CMS) oder das Verwenden kompromittierter Administrationszugänge. Angreifer können auf diese Weise Inhalte verändern oder eigenen JavaScript-Code einschleusen. Eine weitere Möglichkeit stellt die Lieferkette («Supply Chain») dar. Moderne Webseiten bestehen meist nicht ausschliesslich aus eigenem Code. JavaScript-Bibliotheken, Analysewerkzeuge oder andere externe Dienste werden direkt in die Webseite eingebunden. Wird einer dieser Anbieter kompromittiert, kann das weitreichende Auswirkungen haben, ohne dass der Betreiber selbst unmittelbar angegriffen werden muss. Für den Kunden sieht die manipulierte Webseite aus wie immer. Die Webadresse und das Layout sind unverändert und die Manipulation ist nur bei einer genaueren Analyse des Codes erkennbar.
Der trügerische Bestellvorgang
Bei dem aktuellen Vorfall betrifft die Manipulation einen Webshop für Essensbestellungen.
Nach Auswahl der gewünschten Bestellung gelangt der hungrige Kunde auf die Checkout-Seite, wo er die Zahlungsmethode wählen kann. Dort, wo ursprünglich Twint als Zahlungsmöglichkeit angeboten wurde, wird diese Auswahl jedoch durch eine eingeschleuste JavaScript-Datei manipuliert.
Die ursprünglich vorhandene Option «Twint» wird durch die Option «Credit/Debit Card» ersetzt:
Ein genauerer Blick auf den eingeschleusten Javascript-Code zeigt, wo dieser Austausch der Beschriftung stattfindet:
Für den Kunden entsteht dadurch der Eindruck, dass die Kreditkartenzahlung eine reguläre, vom Webshop angebotene Zahlungsmethode ist. Die einzige Auffälligkeit ist, dass der Ausdruck auf Englisch geschrieben wird («Credit/Debit Card» anstatt «Kreditkarte»), obwohl der Rest der Webseite in Deutsch ist.
Nach der Auswahl dieser Zahlungsmethode wird in einem Pop-Up-Fenster ein Formular eingeblendet. Dieses Fenster fordert den Kunden zur Eingabe von Kreditkartendaten auf. Auch hier besteht die Auffälligkeit, dass das eingeblendete Formular nicht in das Layout der Seite passt, und wiederum auf Englisch abgefasst ist:
Die eingegebenen Zahlungsdaten werden in der Folge an eine von den Betrügern kontrollierte Domain gesendet. Um keinen Verdacht aufkommen zu lassen, wird anschliessend eine Meldung eingeblendet, wonach die Bezahlung mit Kreditkarten erst in der Testphase sei, und man doch mit Twint zahlen solle. Twint steht nun auch wieder als Zahlungsoption zur Auswahl, die Option «Credit/Debit Card» ist hingegen verschwunden.
Massnahmen zum Verhindern von Skimming-Angriffen
Ohne Spezialwissen ist es sehr schwierig bis unmöglich, eine solche Manipulation zu durchschauen. Umso wichtiger ist es, dass Webseiten- bzw. Shop-Betreiber ihre Verantwortung wahrnehmen, um die Kunden zu schützen und ein sicheres Einkaufserlebnis zu garantieren.
Empfehlungen für Webseitenbetreiber
- Halten Sie sämtliche Komponenten aktuell und spielen Sie Sicherheitspatches regelmässig ein.
- Inventarisieren Sie externe JavaScript-Bibliotheken und Plugins und prüfen Sie diese regelmässig auf ihre Herkunft und Aktualität.
- Überprüfen Sie periodisch die Funktionalität der Webseite. Der Betreiber sollte das Check-out seines Shops regelmässig auf Unregelmässigkeiten hin überprüfen. Dies lässt sich auch automatisieren.
- Verwenden Sie starke Administratorenpasswörter, nach Möglichkeit mit Einsatz einer 2-Faktor-Authentisierung.
- Legen Sie mit einer restriktiv konfigurierten «Content Security Policy» (CSP) fest, ob und aus welchen Quellen der Browser JavaScript Code laden darf und wohin Daten übertragen werden dürfen.
Empfehlungen für Opfer von Skimming
- Bei unerklärlichen Abbuchungen auf der Kreditkarte nach einem Kauf auf einem Ihnen bekannten Shop denken Sie auch an die Möglichkeit von Skimming.
- Informieren Sie das BACS – Das BACS kann mit den Betreibern in Kontakt treten.
- Fechten Sie die Transaktion bei Ihrer Bank oder bei Ihrem Kreditkartenanbieter an.
- Bei einem finanziellen Schaden empfiehlt das BACS, Anzeige bei der Kantonspolizei zu erstatten. Auf der Seite von Suisse ePolice können Sie Polizeiposten in Ihrer Nähe suchen.
Aktuelle Zahlen und Statistiken
Die Anzahl Meldungen der letzten Woche nach Kategorien sind publiziert unter: