E-Skimming, auch bekannt als Web-Skimming oder Magecart-Angriffe, ist eine Form des Cyberbetrugs, bei der Hacker schädlichen Code auf E-Commerce-Websites einfügen, um Kreditkarteninformationen und andere persönliche Daten von ahnungslosen Kunden zu stehlen. Diese Angriffe zielen auf den Zahlungsverkehr von Online-Shops ab, um sensible Informationen zu erfassen, während sie zwischen dem Kunden und der Website übertragen werden.
Funktionsweise von E-Skimming
Die Durchführung eines E-Skimming-Angriffs erfolgt in mehreren Schritten:
- Eindringen: Zuerst verschaffen sich die Angreifer Zugang zu einer E-Commerce-Website. Dies kann durch Ausnutzen von Sicherheitslücken in der Website-Software, durch kompromittierte Drittanbieter-Skripte oder durch Phishing-Angriffe auf Mitarbeiter der Website erfolgen.
- Einbettung von Schadcode: Nachdem sie Zugang erlangt haben, injizieren die Angreifer schädlichen JavaScript-Code in die Webseiten der E-Commerce-Plattform. Dieser Code wird oft so gestaltet, dass er unauffällig bleibt und von Sicherheitssystemen nicht leicht erkannt wird.
- Datendiebstahl: Wenn ein Kunde dann seine Zahlungsinformationen auf der kompromittierten Website eingibt, erfasst der schädliche Code diese Informationen in Echtzeit und sendet sie an einen Server, der von den Angreifern kontrolliert wird.
- Exfiltration: Die gestohlenen Daten, die Kreditkartennummern, Ablaufdaten, CVV-Codes und manchmal auch persönliche Identifikationsinformationen umfassen können, werden dann für betrügerische Transaktionen verwendet oder auf dem Schwarzmarkt verkauft.
Erkennung und Schutz
E-Skimming ist besonders heimtückisch, da es für Kunden und manchmal auch für die Betreiber der betroffenen Websites schwer zu erkennen ist. Der schädliche Code kann lange Zeit aktiv bleiben, ohne entdeckt zu werden. Einige Maßnahmen zum Schutz vor E-Skimming umfassen:
- Regelmäßige Sicherheitsüberprüfungen: Website-Betreiber sollten ihre Systeme regelmäßig auf Anomalien überprüfen und Sicherheitslücken umgehend schließen.
- Verwendung von Sicherheitslösungen: Spezialisierte Sicherheitslösungen, die den Datenverkehr auf ungewöhnliche Skriptaktivitäten hin überwachen, können helfen, E-Skimming-Angriffe zu identifizieren.
- HTTPS verwenden: Die Verwendung von HTTPS (statt HTTP) für alle Transaktionen kann die Sicherheit verbessern, da sie die Datenübertragung verschlüsselt.
- Schulung von Mitarbeitern: Mitarbeiter sollten in Bezug auf Phishing und andere Methoden, die Hacker verwenden könnten, um Zugang zu Website-Systemen zu erlangen, geschult werden.
- Vorsicht bei Drittanbietern: Vorsicht bei der Integration von Drittanbieter-Skripten und -Diensten, da diese kompromittiert werden und als Einfallstor für Angreifer dienen können.
Für Kunden ist es ratsam, regelmäßig ihre Kreditkarten- und Bankauszüge zu überprüfen und nach verdächtigen Transaktionen Ausschau zu halten. Die Verwendung von Kreditkarten bietet im Vergleich zu Debitkarten oft zusätzlichen Schutz vor Betrug. Ebenso kann die Nutzung von Zahlungsdiensten wie PayPal, die eine zusätzliche Schutzschicht zwischen der Website und den Zahlungsinformationen des Kunden bieten, das Risiko minimieren.
E-Skimming stellt eine ernsthafte Bedrohung für die Online-Sicherheit dar, und sowohl Einzelpersonen als auch Unternehmen müssen proaktiv Maßnahmen ergreifen, um sich vor diesen Angriffen zu schützen.
