Web-Skimming im Online-Shop: Kreditkartendaten im Visier

Branche: E-Commerce / Mitarbeitende: 300

Ein wachsender Online-Händler vertreibt Elektronikprodukte europaweit über einen eigenen Webshop. Bezahlung per Kreditkarte ist ein zentraler Bestandteil des Geschäftsmodells. An einem Dienstagnachmittag meldet sich ein Zahlungsdienstleister mit einem beunruhigenden Hinweis: Mehrere Banken haben ungewöhnliche Betrugsmuster gemeldet, die auf Transaktionen aus genau diesem Shop zurückzuführen sind. Es besteht der Verdacht auf Web-Skimming.

Inhaltsverzeichnis

Auffällige Muster im Zahlungsverkehr

Die IT-Leitung erhält eine dringende Anfrage vom Payment Service Provider (PSP). In dessen Auswertungen zeigt sich, dass eine steigende Anzahl kompromittierter Kreditkarten zuvor in genau diesem Online-Shop genutzt wurde. Der PSP warnt, dass dies ein typisches Muster bei manipulierten Zahlungsseiten ist, und empfiehlt umgehend eine Sicherheitsprüfung.

Die interne IT nimmt den Checkout-Bereich des Shops unter die Lupe. Auf den ersten Blick wirkt alles unauffällig: Der Bezahlvorgang läuft durch, es gibt keine Fehlermeldungen oder Performanceprobleme. Dennoch bleibt der Verdacht bestehen, sodass sich das Unternehmen entschließt, externe Spezialisten hinzuzuziehen.

Es ist Web-Skimming: Sofort werden Incident-Response-Maßnahmen eingeleitet

Über unsere 24/7-Notfallnummer wird das Incident-Response-Team von intersoft consulting services eingebunden. In einem ersten Schritt wird der Quellcode der Zahlungsseiten detailliert analysiert und mit älteren, als sicher bekannten Versionen verglichen. Besonderes Augenmerk gilt dabei eingebundenen Skripten und externen Ressourcen.

Bei dieser Analyse fällt ein unauffälliges JavaScript-Snippet auf, das vor wenigen Wochen in den Checkout-Prozess integriert wurde. Es greift die während der Zahlung eingegebenen Kreditkarten- und Personendaten ab und überträgt sie im Hintergrund verschlüsselt an einen externen Server – ein typischer Web-Skimming-Mechanismus, wie man ihn aus sogenannten Magecart-Angriffen kennt.

Recherchen zeigen, dass das Skript über ein kompromittiertes Plug-in in das Shop-System gelangte. Die Angreifenden hatten offensichtlich Zugriff auf Systeme eines Drittanbieters oder dessen Update-Infrastruktur und nutzten diesen Weg, um den Schadcode verdeckt zu verteilen.

Gemeinsam mit dem Händler werden sofort Gegenmaßnahmen eingeleitet. Das schädliche Skript wird entfernt, das betroffene Plug-in deaktiviert und der Kreditkartenzahlungsweg in Abstimmung mit dem PSP vorübergehend ausgesetzt. Der Shop bleibt weiterhin erreichbar, bietet aber zunächst nur alternative Bezahlarten an. Alle relevanten Protokolle und Systemzustände werden IT-forensisch gesichert, um die weiteren Untersuchungen zu unterstützen.

Wie ist der Fall ausgegangen?

Die anschließende Auswertung zeigt, dass über mehrere Wochen hinweg Kreditkartendaten abgeflossen sind. Mithilfe der Logdaten und der Transaktionshistorie lässt sich der betroffene Zeitraum eingrenzen und die Anzahl der potenziell kompromittierten Karten bestimmen.

Das Unternehmen informiert in enger Abstimmung mit dem PSP und den Kreditkartenanbietern sämtliche betroffenen Kunden sowie die zuständigen Aufsichtsbehörden. Gleichzeitig werden die Ergebnisse der technischen Analyse transparent kommuniziert und weitere Schutzmaßnahmen angekündigt. So gelingt es, trotz des ernsten Vorfalls Vertrauen zurückzugewinnen.

Im Hintergrund wird die Sicherheitsarchitektur des Shops grundlegend überarbeitet. Änderungen an Plug-ins und externen Skripten durchlaufen künftig deutlich strengere Freigabeprozesse, die Zahlungsseiten werden regelmäßig statisch und dynamisch geprüft. Eine gehärtete Content Security Policy und Subresource-Integrity-Prüfungen sollen verhindern, dass unautorisierte Skripte unbemerkt eingebunden werden. Darüber hinaus richtet das Unternehmen ein erweitertes Monitoring ein, das Auffälligkeiten im Zahlungsverkehr frühzeitiger erkennt.

„Der Angriff war für uns ein Schock – nicht nur technisch, sondern vor allem im Hinblick auf das Vertrauen unserer Kundinnen und Kunden. Heute prüfen wir jede noch so kleine Änderung an der Zahlungsseite mit maximaler Sorgfalt.“
IT-Leiter des betroffenen E-Commerce-Unternehmens