Thought Leadership
Nach Analysen des Sicherheitsforschers Brian Krebs erwirtschaften Cyberkriminelle mit einer neuen Betrugsmasche pro Karte zwischen 100 und 500 US-Dollar. Das jährliche Schadensvolumen könnte sich auf bis zu 15 Milliarden US-Dollar summieren – Tendenz steigend. Der Grund: Eine technische Innovation, die das klassische „Carding“ revolutioniert.
Der Weg zu den Kartendaten folgt zunächst bekannten Mustern: Die Täter erstellen massenhaft Apple- und Google-Accounts, über die sie gefälschte Nachrichten von Paketdiensten oder Mautbetreibern versenden. Wer auf die enthaltenen Links klickt, landet auf einer Phishing-Seite.
Der entscheidende Trick der Angreifer: Nach der Eingabe der Kreditkartendaten werden die Opfer aufgefordert, einen einmaligen Sicherheitscode (One-Time-Passcode) einzugeben. Was nach zusätzlicher Sicherheit aussieht, ist in Wahrheit der Schlüssel zur digitalen Brieftasche: Die Kriminellen nutzen diesen Code, um die gestohlene Kreditkarte direkt in eine von ihnen kontrollierte Apple- oder Google-Wallet zu integrieren.
Die Täter experimentieren dabei mit verschiedenen technischen Finessen: Manche Phishing-Seiten greifen Kartendaten schon beim Laden ab, andere simulieren Fehler, um mehrere Karten pro Opfer zu erbeuten. Auch legitime Payment-Provider wie Stripe werden in die Betrugskette eingebunden.
Statt die Kartendaten direkt zu verkaufen oder für Betrug zu nutzen, registrieren die vor allem aus China stammenden Angreifer sie in selbst kontrollierten digitalen Wallets. Dafür missbrauchen sie den Verifizierungsprozess der Wallet-Anbieter von Apple und Google.
Für die anschließende Monetarisierung haben die Kriminellen verschiedene Methoden entwickelt. Besonders bemerkenswert ist der Einsatz der Android-App „ZNFC“, die als „Ghost-Tap“-Software fungiert. Sie ermöglicht NFC-Transaktionen von beliebigen Standorten aus und macht damit geografische Beschränkungen obsolet. Die Kombination aus digitalen Wallets und manipulierten NFC-Transaktionen eröffnet den Tätern dabei völlig neue Möglichkeiten der Gewinnmaximierung.
