Kriminelle klauen Kreditkartendaten mittels Website-Skimming

News

Die Website eines Essenslieferdienstes wurde für sogenanntes Skimming missbraucht. Dabei schleusen Kriminelle Schadcode ein, der beim Bezahlvorgang die Kreditkartendaten der Kunden abgreift. Da es sich eigentlich um eine legitime Website handelt, ist eine solche Manipulation besonders schwierig zu erkennen.

(Source: Mohamed Hassan / Pixabay.com)

Cyberkriminelle haben auf der Website eines Essenslieferdienstes Schadcode eingeschleust, der die Kreditkartendaten der Kundschaft abgreifen soll. Anders als Phishing findet dieses sogenannte Skimming auf einer legitimen Website statt, die durch Angreifer manipuliert wurde, wie das Bundesamt für Cybersicherheit (BACS) mitteilt.

Ursprung eines Skimming-Angriffs sei oftmals eine Schwachstelle in der Webanwendung oder dem Content-Management-System (CMS). So können Kriminelle laut Mitteilung ihren eigenen Javascript-Code einschleusen beziehungsweise den vorhandenen verändern. Ein alternativer Angriffsvektor sei die Lieferkette ("Supply Chain"): Wenn es Angreifern gelinge, ihren Schadcode etwa in Javascript-Bibliotheken oder Analysewerkzeugen einzubauen, könnten sie potenziell hunderte von Websites kompromittieren, ohne dass deren Betreiber etwas merken würden.

Beim betroffenen Webshop für Essensbestellungen ersetzten die Kriminellen gemäss BACS die Zahlungsoption "Twint" mit "Credit/Debit Card". Bei Auswahl der Option öffnete sich ein Pop-up-Fenster mit einem typisch aussehenden Kreditkartenformular - mit der Ausnahme, dass es auf Englisch abgefasst war. Wer seine Daten eingab, übermittelte diese laut Mitteilung den Betrügern und erhielt anschliessend die Meldung, dass die Bezahlmethode nicht funktioniere und man doch Twint nutzen soll.

Website-Betreiber in der Pflicht

Das BACS hält fest, dass man eine solche Manipulation ohne Spezialwissen fast nicht durchschauen könne. Deshalb seien Betreiber von Webshops in der Verantwortung, regelmässig Sicherheitsupdates zu machen und externe Javascript-Bibliotheken gut zu überprüfen. Zudem soll man die Funktionalität der Website periodisch überprüfen und starke Admin-Passwörter verwenden.

Wer nach dem Kauf auf einem Webshop unerklärliche Kreditkartenabbuchungen feststellt, soll das BACS informieren; das Bundesamt werde dann mit den Betreibern in Kontakt treten. Zudem soll man die Transaktion bei der Bank anfechten und bei finanziellem Schaden Anzeige erstatten.

Die Website des BACS zeigt sich übrigens in einem neuen Kleid. Das überarbeitete Design soll wichtige Informationen leichter auffindbar machen, wie Sie hier lesen können.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.