Weihnachten steht vor der Tür und schon jetzt ist sicher, dass einigen die Festtagsstimmung vergehen wird. Wenn Millionen Menschen online auf Geschenkejagd gehen, schnappt die Falle zu. Die Rede ist von der neuen unsichtbaren Bedrohung im Internet: Formjacking, auch als E-Skimming bekannt. Dabei erbeuten Hacker auf Onlineshops mit gekaperten Bezahlformularen Kreditkarten- und Bankdaten. Der ahnungslose Kunde und das betroffene Unternehmen bekommen davon erstmal gar nichts mit – alles verläuft wie gewohnt. Der Käufer erhält sein Produkt und das Unternehmen die Bezahlung, doch im Hintergrund greifen Cyberkriminelle die geheimen Zahlungsinformationen ab. Erst bei einem späteren Blick auf das Konto kommt das böse Erwachen: Unbekannte haben auf Kosten des Kartenbesitzers ausgiebig geshoppt.
BKA und FBI warnen
Das BKA bestätigt im neuen Bundeslagebericht zum Thema Cybercrime, dass es bereits im Vorjahr während des Weihnachtsgeschäfts zu einem besonders starken Anstieg der Formjacking-Fälle kam. Auch das FBI gab kürzlich im Rahmen des U.S. Cyber Security Month 2019 eine Warnung insbesondere an kleine und mittelständische Unternehmen heraus, die Online-Kreditkarten-Zahlung anbieten. Diese würden häufig über weniger ausgeklügelte Abwehrmechanismen verfügen und seien somit besonders anfällig für Angriffe. Platzierte Malware bliebe auf deren Systemen zudem länger unentdeckt.
Doch auch größere Firmen geraten vermehrt ins Visier. Einer der spektakulärsten Fälle ereignete sich im September 2018, als British Airways aufgrund einer infizierten Buchungsseite über 380.000 Kreditkartendaten von Kunden abhandenkamen. Den Hackern dürfte diese Attacke mehrere Millionen US-Dollar eingebracht haben. British Airways wiederrum musste nicht nur einen immensen Vertrauensverlust hinnehmen, sondern sieht sich dank mangelhafter Sicherheitsmaßnahmen auch einer möglichen Strafe in Höhe von 230 Million US-Dollar ausgesetzt – der bisher größte Betrag seit Inkrafttreten der DSGVO.
Wie funktioniert Formjacking?
Der Begriff Formjacking setzt sich aus „Online-Form“ und „Hijacking“ zusammen und beschreibt im Prinzip die digitale Variante des altbekannten Skimmings, bei dem Betrüger das Karteneinschubfach an Geldautomaten mit einem eigenen Kartenlesegerät präparieren. Der Pin-Code wird zeitgleich mit kleinen Kameras ausgespäht. Mit den gesammelten Daten kann die Bankkarte dupliziert werden.
Ganz ähnlich läuft ein Formjacking-Angriff im Cyberspace ab. Bei der zweistufigen Attacke wird zuerst eine Verkaufsseite im Netz ins Fadenkreuz genommen, um einen Schadcode — meist kleine verschleierte JavaScripts — auf der Seite zu platzieren. Laut FBI erreichen Hacker dies häufig durch Phishing und schadhafte Mails an Mitarbeiter oder über anfällige Drittanbieter, deren Anwendungen Zugang zur Serverlandschaft eines Unternehmens haben. Ist es gelungen, den schadhaften Code zu implementieren, können Kreditkartendaten in Echtzeit erfasst werden, sobald der Kunde diese auf der Shop-Website eingibt.
Mit den wertvollen Informationen gehen die Cyberkriminellen dann entweder selbst auf Shopping-Tour oder verkaufen sie im Darknet. Einer Studie der amerikanischen Kreditauskunftei Experian zufolge geht eine Kreditkartennummer mit Sicherheitscode für etwa 5 US-Dollar über den digitalen Ladentisch. Logindaten von Zahlungsdienstleistern wie Paypal bringen sogar um die 20 US-Dollar ein.
Wer steckt hinter den Angriffen?
Formjacking gehört zu den sogenannten Man-in-the-Middle-Attacken, bei denen sich Angreifer mittels Schadsoftware unbemerkt zwischen den Kommunikationspartnern positionieren. Aber wer sind die Unbekannten? Klar zuweisen lässt sich dies meistens nicht, doch immer wieder taucht im Zusammenhang mit den Vorfällen der Name Magecart auf, so auch im anfangs geschilderten British Airways-Fall. Es handelt sich hierbei um einen Oberbegriff, der die Aktivitäten von mindestens sieben Hackergruppen beschreibt, die ähnliche Malware in ähnlich orchestrierten Angriffen einsetzen. Die Magecart-Gruppen sind im Rahmen ihrer Hacks nicht auf eine bestimmte Plattform von Onlineshops beschränkt. Darüber hinaus ließ sich beobachten, dass sich einige der Cyberkriminellen auf Dienstleistungen von Drittanbietern, wie beispielsweise Live-Chat-Widgets, spezialisiert haben.
Wie kann man sich schützen?
Für den Kunden ist es beim Online-Shopping nicht möglich Formjacking zu erkennen und zu verhindern, weil die infizierten Seiten unverändert aussehen. Empfehlenswert ist es daher, Einkäufe auf große Shops zu beschränken, die im Gegensatz zu kleinen E-Commerce-Websites mit umfangreicheren Sicherheitssystemen ausgestattet sind. Kreditkarten sollten außerdem über eine zweite Verteidigungsstufe in Form des 3D-Secure-Verfahrens verfügen. Dann ist beispielsweise ohne TAN-Code, der an das Smartphone geschickt wird, keine Transaktion möglich.
Die eigentliche Verantwortung, die E-Skimming-Attacken zu verhindern, liegt aber bei den Unternehmen. Diese müssen unbedingt ihre Sicherheitssysteme auf dem aktuellsten Stand halten. Es gilt die Einfallstore von Malware, etwa in Form von schadhaften Mails, mit umfangreichen Schutzmaßnahmen geschlossen zu halten.
Zwar liegt der Fokus von Formjacking derzeit auf dem Diebstahl von Kreditkartendaten, aber prinzipiell lässt sich mit der Methode jede Art von Daten abgreifen, die über Online-Formulare erfasst wird. Die Ausweitung der Betrugsmasche ist daher mehr als wahrscheinlich.
Quellen
- BKA. Bundeslagebilder Cybercrime [abgerufen am 19.11.2019]
- Experian.Here’s How Much Your Personal Information Is Selling for on the Dark Web [abgerufen am 19.11.2019]
- FBI.Oregon FBI Tech Tuesday: Building a Digital Defense Against E-Skimming [abgerufen am 19.11.2019]
- It-Daily.Cyberkriminelle setzen vermehrt auf Formjacking [abgerufen am 19.11.2019]
- IT Governance.Protect yourself and your customers from formjacking [abgerufen am 19.11.2019]
- Netskope.Could formjacking affect your organization? [abgerufen am 19.11.2019]
- Netz.de. Formjacking – digitale Gangster besinnen sich auf analoge Technik [abgerufen am 19.11.2019]
- Security affairs. FBI and DHS CISA issue alerts on e-skimming attacks [abgerufen am 19.11.2019]
- ZDNet.FBI issues warning about e-skimming (Magecart) attacks [abgerufen am 19.11.2019]
- ZDNet.How Magecart groups are stealing your card details from online stores [abgerufen am 19.11.2019]
Bericht von Hornet Security https://www.hornetsecurity.com/de/security-informationen/formjacking/
Author: Micha Beyersdorf
