Woche 36: Analoges Skimming – Psychologie statt Technik
Während klassisches Skimming, das Auslesen oder Kopieren von Kreditkartendaten, heute nur noch selten vorkommt, setzen Betrüger zunehmend auf psychologische Tricks, dem sogenannten Social Engineering, um an die Kreditkarten zu gelangen. In einer dem BACS gemeldeten Betrugsvariante werden Betroffene telefonisch dazu gebracht, den Chip ihrer Bankkarte auszuhändigen. Die Täter geben sich als Mitarbeitende einer Bank aus und täuschen einen Sicherheitsvorfall vor. Die erbeuteten Chips werden anschliessend für missbräuchliche Bargeldbezüge eingesetzt.
Noch vor rund zehn Jahren waren in der Schweiz regelmässig grössere Skimming-Wellen zu beobachten. Beim klassischen Skimming manipulieren Kriminelle Geldautomaten oder Zahlungsterminals mit zusätzlichen Vorrichtungen. Diese dienen dazu, Kartendaten auszulesen und gleichzeitig den PIN-Code der Kundinnen und Kunden zu erfassen, beispielsweise mithilfe versteckter Kameras oder präparierter Tastaturen. Die erbeuteten Daten wurden anschliessend für betrügerische Bargeldbezüge oder Kartenzahlungen verwendet.
Vom Magnetstreifen zum Chip: Wie Cyberkriminelle auf bessere Sicherheitsmassnahmen reagieren
Als Reaktion auf das klassische Skimming wurden in den vergangenen Jahren verschiedene Sicherheitsmassnahmen umgesetzt. So spielt in der Schweiz der Magnetstreifen bei Bargeldbezügen heute kaum noch eine Rolle. Stattdessen erfolgt die Authentifizierung über den Chip auf der Karte. Dieser bietet einen deutlich höheren Schutz vor Missbrauch.
Ein wesentlicher Unterschied liegt in der Funktionsweise der beiden Technologien. Auf dem Magnetstreifen sind die Kartendaten statisch gespeichert. Das bedeutet, dass stets dieselben Informationen ausgelesen werden können. Gelingt es Kriminellen, diese Daten abzugreifen, lassen sie sich mit vergleichsweise einfachen Mitteln kopieren und auf andere Datenträger übertragen. Gerade deshalb war das klassische Skimming über viele Jahre hinweg eine erfolgreiche Betrugsmasche.
Der Chip funktioniert hingegen nach einem anderen Prinzip. Er enthält einen kleinen Computer mit kryptografischen Schlüsseln und erzeugt bei jeder Transaktion einen individuellen Sicherheitscode, der nur für diese einzelne Zahlung gültig ist. Selbst wenn Angreifern die bei einer Transaktion übertragenen Daten in die Hände fallen würden, könnten sie diese nicht für weitere Chip-Transaktionen verwenden. Dadurch hat das klassische Skimming an Geldautomaten und Zahlungsterminals stark an Bedeutung verloren und findet nur noch in Ländern statt, die den Magnetstreifen noch für den Bargeldbezug zulassen.
Neue Variante mit Social Engineering statt HighTech
In einer dem BACS kürzlich gemeldeten Betrugsvariante nehmen Kriminelle den Chip von Bankkarten ins Visier. Anders als beim klassischen Skimming wird dabei jedoch kein Kreditkartenleser oder andere Technik eingesetzt. Stattdessen versuchen die Täter, die Betroffenen gezielt zu manipulieren und dazu zu bringen, ihnen den Chip selbst auszuhändigen. Die Betrugsmasche beginnt mit einer SMS, die angeblich von einer Bank stammt. Darin wird behauptet, die Karte sei missbraucht worden oder es habe verdächtige Transaktionen gegeben. Die Empfängerinnen und Empfänger werden aufgefordert, eine angegebene Telefonnummer anzurufen, um den Vorfall zu klären.
Am Telefon meldet sich ein angeblicher Mitarbeitender der Bank. Dieser erklärt, die Karte müsse aus Sicherheitsgründen unverzüglich zerstört werden. Die Betroffenen werden angewiesen, die Karte zu zerschneiden, ohne dabei aber den Chip zu zerstören. Die zerschnittene Karte soll dann in einen Briefumschlag gelegt werden, der dann entweder an eine Adresse gesendet werden soll oder von einem angeblichen Bankmitarbeiter direkt zu Hause abgeholt wird. Das Zerschneiden der Karte vermittelt den Eindruck, die Karte sei unbrauchbar gemacht worden. Tatsächlich bleibt der Chip jedoch weiterhin funktionsfähig. In den dem BACS bekannten Fällen erschien kurze Zeit später eine Person an der Wohnadresse der Betroffenen und nahm die zerschnittene Karte entgegen. Anschliessend wurde die Karte offenbar wieder zusammengeflickt und damit Bargeld abgehoben. In einem Fall wurden auf diese Weise über 10'000 Franken erbeutet.
Besonders perfide ist, dass die Betrüger die Betroffenen im Vorfeld teilweise sogar dazu veranlassten, die Limiten der Karte zu erhöhen. Noch unklar ist, wie die Täter an den zugehörigen PIN-Code gelangten. Das BACS geht jedoch davon aus, dass dieser im Verlauf des Telefongesprächs erfragt oder auf unauffällige Weise in Erfahrung gebracht wurde.
Empfehlungen
- Banken holen weder Bankkarten noch einzelne Kartenbestandteile wie Chips, PIN-Codes oder Zugangsdaten an der Haustüre ab.
- Zerschneiden Sie eine Bankkarte niemals auf Anweisung einer unbekannten Person und händigen Sie insbesondere den Chip niemandem aus.
- Geben Sie Ihren PIN-Code niemals am Telefon bekannt, auch nicht gegenüber Personen, die sich als Bankmitarbeitende ausgeben.
- Seien Sie misstrauisch bei SMS, E-Mails oder Anrufen, die Zeitdruck erzeugen und zu sofortigem Handeln auffordern.
- Kontaktieren Sie Ihre Bank bei entsprechenden Meldungen ausschliesslich über die offiziellen Telefonnummern und Kontaktkanäle.
- Sperren Sie Ihre Karte umgehend, wenn Sie den Verdacht haben, Opfer einer Betrugsmasche geworden zu sein
Aktuelle Zahlen und Statistiken
Die Anzahl Meldungen der letzten Woche nach Kategorien sind publiziert unter: