Betrug im Online-Handel – am Anfang steht immer eine Schwachstelle

Diese Woche wurde ein Vorfall bekannt bei dem es Angreifern gelungen ist, Kreditkartendaten von Nutzer*innen während ihres Online-Einkaufs abzugreifen. Die Kriminellen nutzen für die Attacke eine Software-Schwachstelle bei Online-Shops, die auf PrestaShop-Basis betrieben wurden.

Das Unternehmen warnt mittlerweile vor diesem Vorfall und bietet auf seiner Website Hilfe für seine Kunden an – weltweit an die 300.000 Händler. Aufgrund der großen Zahl an Shops ist das genaue Ausmaß des Cyberangriffs noch unklar. Fest steht aber, dass über den Zeitraum, in dem die Lücke bestand, unzählige Kreditkarteninformationen kompromittiert worden sein könnten.  

Möglich war dies durch eine sogenannte SQL-Injection. Bei dieser Methode wird ein ausführbarer Code in das Shop-System eingeschleust. Dies geschieht über Eingabefelder, die dafür nicht vorgesehen sind, wie zum Beispiel dem Kontaktdaten- oder Adressfeld. Im Fall der PrestaShops auch über die Wishlist-Funktion. 

Doch wie geht es weiter? Während PrestaShops seine Kund*innen aufklärt, Updates bereitstellt und die Erkennung und Auswertung von betroffenen Shops vorantreibt, hantieren Kriminelle von unbekanntem Standort aus mit gestohlenen Kreditkartendaten. Es wird klar: Der Fall PrestaShop war lediglich der Auftakt. Was folgen wird, ist der missbräuchliche Einsatz dieser Daten, der viele Online-Händler und Kund*innen treffen wird. Ein Fall wie dieser zeigt auf, wie akut das Problem Betrug im Online-Handel ist und wie wichtig es ist, dass sich Unternehmen ausreichend absichern. 

Betrug im Online-Handel ist ein lukratives Geschäft für Cyberkriminelle und mit dem Ausbau des E-Commerce hat auch die Anzahl von Straftaten in den letzten Jahren massiv zugenommen. Dabei gibt es unterschiedliche Arten wie Kriminelle online betrügen – ob mit dem sogenannten „Friendly Fraud“, bei dem es sich um unzulässige Rückbuchungsversuche handelt, Accountübernahmen oder gestohlenen Kreditkartendaten. Diese Methode ist zugleich eine der am häufigsten vorgenommenen Betrugstaktiken und setzt eine Auftaktstraftat voraus.

Um genau so einen Fall handelt es sich nun beim Angriff auf PrestaShop, bei dem die Täter*innen die erbeuteten Daten nun selbst einsetzen können oder im Darknet weiterverkaufen werden. Gegen Datenraub und Schwachstellen kann man sich als Kunde nur bedingt absichern. Es ist daher an der Zeit, dort anzusetzen, wo diese Daten missbräuchlich eingesetzt werden können. Um einen Onlineshop ausreichend gegen Betrug abzusichern, braucht es Lösungen, die die Schwächen der traditionellen Betrugsprävention umgehen und mit Hilfe von selbstlernender und anpassungsfähiger Software effektiven Schutz gegen herkömmliche und neue Betrugsszenarien bieten. So können betrügerische Handlungen und unautorisierte Transaktionen frühzeitig erkannt und verhindert werden. Denn nur mit gut abgesicherten Online-Auftritten können sich Unternehmen und Kund*innen sicher in der Welt des Online-Handels bewegen.