Bundesamt warnt vor Datenklau bei Essenslieferdiensten
Kreditkartendaten statt Abendessen: Betrüger haben die Bezahlseite eines Essenslieferdienstes manipuliert. Das Bundesamt für Cybersicherheit (Bacs) warnt vor der als "Skimming" bekannten Betrugsmasche und gibt Tipps, wie man sich schützen kann.
(Keystone-SDA) WIE GEHEN DIE BETRÜGER VOR?
Die vom Bacs angeführten Angreifer schleusten einen schädlichen Code in die legitime Webseite des betroffenen Anbieters ein. Dieser Code ersetzte die ursprünglich angebotene Bezahlmethode Twint durch eine gefälschte Option für «Kreditkartenzahlungen». Wählten die Kunden diese Option aus, öffnete sich ein Pop-Up-Fenster zur Eingabe der Kartendaten. Auffällig war dabei laut dem Bacs, dass die Beschriftung auf Englisch war, obwohl die restliche Seite auf Deutsch war.
Die eingegebenen Daten wurden direkt an die Betrüger übermittelt. Um keinen Verdacht zu erregen, erschien danach eine Fehlermeldung. Diese besagte, die Kreditkartenzahlung sei noch in einer Testphase, und die Kunden sollten stattdessen Twint benutzen.
WAS IST DER UNTERSCHIED ZU PHISHING?
Bei dieser als «Skimming» bezeichneten Methode werden Daten auf einer echten Webseite gestohlen. Dies im Gegensatz zum Phishing, bei dem jeweils gefälschte Webseiten zum Einsatz kommen.
WIE SCHÜTZE ICH MEINE WEBSITE?
Ohne Spezialwissen ist es laut dem Bacs «sehr schwierig bis unmöglich», eine solche Manipulation zu durchschauen. Umso wichtiger sei es darum, dass Webseiten- bzw. Shop-Betreiber ihre Verantwortung wahrnehmen, um die Kunden zu schützen und ein sicheres Einkaufserlebnis zu garantieren.
Sämtliche Sicherheitspatches sollten dabei regelmässig eingespielt werden. Alle Systemkomponenten sollten zudem stets auf dem neuesten Stand sein, schreibt das Bacs. Die Funktionalität des Check-outs für den Bezahlvorgang sollte periodisch auf Unregelmässigkeiten untersucht werden. Dafür sollten nach Möglichkeit automatisierte Tests oder Monitoring-Tools eingerichtet werden.
Für alle Administrations-Konten sollten Betreibende zudem starke, einzigartige Passwörter genutzt werden. Auch eine 2-Faktor-Authentisierung wird empfohlen.
Damit verhindert werden kann, dass fremde Skripte Daten auf der eigenen Website geladen werden, sollten Betreibende zudem eine restrikive Content Security Policy (CSP) einrichten. Damit definieren Sie genau, aus welchen Quellen der Browser JavaScript ausführen darf und wohin Daten übertragen werden dürfen.
WAS MACHE ICH, WENN ICH ALS KUNDE OPFER VON SKIMMING WERDE?
Bei einer unerklärlichen Kreditkarten-Abbuchung nach einem Online-Kauf sollten Kundinnen und Kunden laut dem Bacs in Betracht ziehen, dass die Website Opfer von E-Commerce-Skimming wurde – dies auch wenn es sich um einen bekannten und vertrauenswürdigen Shop handelt.
Betrügerische Transaktionen sollten zudem umgehend bei der Bank oder dem Kreditkartenanbieter angefechtet werden, um Geld zurückfordern zu können. Auch sollte ein solcher Vorfall dem Bacs gemeldet werden – genauso wie den Shop-Betreibenden selbst. Im Falle eines finanziellen Schadens empfiehlt das Bacs eine Anzeige bei der zuständigen Kantonspolizei. Der passende Polizeiposten kann einfach über die Plattform Suisse ePolice gefunden werden.
