Darum gehts
- Bundesamt warnt vor Website-Skimming bei Schweizer Essenslieferdienst
- Betrüger manipulieren echte Webseiten, stehlen Kreditkartendaten über gefälschte Formulare
- Der Bund rät, verdächtige Abbuchungen zu melden und bei der Polizei anzuzeigen
Der Magen knurrt, die Pizza beim Lieblingsrestaurant ist ausgewählt. Nur noch schnell bezahlen, bevor der Kurier abdüst. Kein Problem – müsste man meinen. Doch genau hier schlagen die Gangster zu. Das Bundesamt für Cybersicherheit (Bacs) warnt zurzeit vor der fiesen Masche namens Website-Skimming.
Der Betrug passiert dort, wo ihn niemand erwartet: an der Kasse des vertrauten Shops. Twint, sonst immer da, fehlt plötzlich. An seiner Stelle steht «Credit/Debit Card» auf der Website, die sonst auf Deutsch ist. Wer klickt, bekommt ein Formular serviert: Kartennummer, Ablaufdatum, Prüfziffer. Alles eingetippt, bestätigt. Dann die Überraschung: Die Kreditkartenzahlung sei noch in der Testphase, heisst es, bitte doch mit Twint zahlen. Und tatsächlich: Twint ist wieder da. Die Bestellung klappt, die Pizza kommt. Man denkt sich nichts Böses. Ein Fehler: Die Daten liegen längst bei den Betrügern.
Echte Site, falsche Kasse
Das Gemeine an der Masche: Sie hebelt eine der wichtigsten Regeln gegen Onlinebetrug aus. Denn die Adresse der Website zu prüfen, nützt nichts. Anders als beim Phishing lockt dich hier niemand auf eine gefälschte Seite. Die Kriminellen bauen ihre Falle direkt in den echten Shop ein. Beim betroffenen Schweizer Essenslieferdienst schleusten sie eine manipulierte Javascript-Datei ein. Diese tauscht Twint gegen die Kreditkartenmaske aus und leitet alle Eingaben an die Täter weiter.
«Ohne Spezialwissen ist es sehr schwierig bis unmöglich, eine solche Manipulation zu durchschauen», erklärt das Bacs. Zwei Details verraten den Trick trotzdem: die englischen Beschriftungen auf der sonst deutschen Website. Und das Zahlungsformular, das nicht ins Layout passt.
Ein Kunde schlug Alarm
Aufgeflogen ist der Betrug durch ein Opfer. Am 24. August meldete ein Kunde dem Bacs eine nicht autorisierte Zahlung, ausgelöst nach einer Bestellung auf besagter Website. Wie lange das Skript da schon lief? Weiss die Behörde nicht. Wie viele Personen betroffen sind und wie hoch der Schaden ist? Ebenfalls unklar. «Das Bacs geht davon aus, dass es weitere geschädigte Personen gab», erklärt die Sprecherin Manuela Sonderegger. Die Behörde hat den Betreiber nach der Meldung informiert. Genützt hat es bisher nichts: Die Seite sei noch nicht bereinigt, bestätigt Sonderegger. Heisst im Klartext: Die Falle ist – Stand Dienstag – noch scharf. Welchen Lieferdienst es trifft, sagt das Bacs nicht.
Wieso? Eine öffentliche Liste betroffener Websites wäre «nur begrenzt zielführend», sagt Sonderegger: Sie würde sich laufend ändern, und kaum jemand würde sie vor dem Besuch einer Seite konsultieren. Stattdessen setzt das Bundesamt auf die Betreiber. Diese wurden im aktuellen Fall schriftlich und zudem telefonisch aufgefordert, die manipulierten Inhalte zu entfernen. Das sei die wirksamste Massnahme und funktioniere «in der Regel sehr schnell». In der Regel. Hier aber bisher nicht.
Alter Trick, neuer Name
Neu ist die Betrugsmethode nicht. Seit 2015 kennen IT-Sicherheitsexperten solche Angriffe unter dem Namen Magecart, zusammengesetzt aus Magento und Shopping Cart. Damals nutzten Kriminelle kritische Lücken in der Shop-Software Magento für Angriffe auf Webshops. Heute spricht man hier von Website-Skimming. «Diese Angreifer handeln in der Regel opportunistisch und durchforsten Websites mit Zahlungsfunktionen gezielt nach Schwachstellen», so Sonderegger. Wie oft das in der Schweiz passiert, ist unklar. Das Bacs erfasst Skimming nicht statistisch, bisher gingen nur einzelne Meldungen ein.
Das Bundesamt rät: Entdeckst du nach dem Einkauf in einem dir sonst bekannten Shop unerklärliche Abbuchungen, denk auch an Skimming; nicht nur an Phishing. Fechte diese Transaktion bei deiner Bank oder deinem Kreditkartenanbieter an. Melde den Fall dem Bacs über das Meldeformular. Die Behörde kann mit dem Betreiber Kontakt aufnehmen. Ist ein finanzieller Schaden entstanden, soll man bei der Polizei Anzeige erstatten.