Kreditkartenbetrug: An der Zapfsäule angezapft

Das Bezahlen mit Kreditkarte an Tankautomaten kann gefährlich sein. Das Zahlkartenunternehmen Visa warnte kürzlich vor Bedrohung durch eine Hackergruppe namens „Fin8“: „Die Hacker nutzen dafür eine Schwachstelle im Verkaufsnetzwerk von Tankstellen aus, mit der sie über die Tankautomaten an wichtige Kreditkarteninformationen gelangen.“

Mit einer Scraping-Software stehlen sie unverschlüsselte Kreditkarteninformationen. Diese werden die übertragen, wenn der Automat nur den Magnetstreifen der Karte ausliest und für die Bezahlung kein Chip oder PIN notwendig ist.

Die Visa-Sicherheitswarnung macht deutlich: „Dieser Angriffsvektor unterscheidet sich erheblich vom „Skimming“ an Zapfsäule. Beim Skimming manipulieren Betrüger Bank- oder Kassenautomaten und greifen die Magnetstreifeninformationen durch ein verstecktes Lesegerät ab. Bei „Scraping“-Attacken greifen die Betrüger hingegen auf das interne Netzwerk des Händlers zu, was größere technische Fähigkeiten erfordert als Skimming-Angriffe. Tankstellenbetreiber sollten deshalb Tankautomaten nutzen, die Bezahlungen über den Kartenchip abwickeln. Dies verringert die Wahrscheinlichkeit eines erfolgreichen Scraping-Angriffs enorm.“

Die Kosten für die Umstellung stellt für viele Tankstellenbetreiber eine große Herausforderung dar: bis zu 230.000 Euro müssen sie in das Umrüsten der Automaten auf Chip-Technologie investieren.

Visa hat noch weitere Empfehlungen, wie Händler die Bedrohung durch Scraping-Angriffe verringern können:

• Berücksichtigen Sie die in der Warnung genannten Hinweise auf Sicherheitsverletzungen (Indicators of Compromise), um Angriffe mit Point of Sale-Malware zu erkennen, abzuwehren und zu verhindern.
• Schützen Sie den Fernzugriff mit starken Passwörtern und stellen Sie sicher, dass nur befugte Personen Zugriff erhalten. Deaktivieren Sie den Fernzugriff, wenn er nicht gebraucht wird, und verwenden Sie Zwei-Faktor-Authentifizierung.
• Kontrollieren Sie den Zugriff je nach Benutzerrolle und Berechtigungsumfang.
• Bieten Sie EMV-Technologien für sichere persönliche Zahlungen (Chip, kontaktlos, mobil und QR-Code).
• Geben Sie jedem Admin eigene Benutzerdaten. Benutzerkonten sollten nur die für den individuellen Arbeitsbereich nötigen Berechtigungen erhalten.
• Mit Verhaltensanalysen für Antimalware können Sie verdächtige Vorgänge aufspüren und halten Ihre Antimalware-Anwendungen auf dem aktuellsten Stand.
• Überwachen Sie den Netzwerkverkehr auf verdächtige Verbindungen und protokollieren Sie alle System- und Netzwerkereignisse.
• Segmentieren Sie nach Möglichkeit das Netzwerk, um die Ausbreitung von Schadsoftware zu verhindern und die Möglichkeiten eines Angreifers einzuschränken.
• Nutzen Sie eine Patch-Management-Lösung und aktualisieren Sie die gesamte Software- und Hardware-Firmware auf die neueste Version, um die Angriffsfläche für Zero-Day-Schwachstellen zu begrenzen.

www.kaseya.com