Credential-Stuffing-Angriffe Hacker nehmen Treueprogramme ins Visier

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Keeper Security EMEA Ltd.

Gladbach Consulting

Akamai Technologies GmbH

Cyberkriminelle attackieren immer häufiger die Kunden-Treueprogramme von Hotels, Restaurants, Einzelhandel und der Reisebranche. Auf den Portalen sind Kundendaten häufig schlecht geschützt und laden zum Diebstahl ein, um eingelöst, eingetauscht oder verkauft werden zu können. Die Zahl der Credential-Stuffing-Angriffe auf den Handelssektor geht inzwischen in die Milliarden. Doch Anbieter, Unternehmen und Verbraucher können sich schützen.

Viele Hotelketten und Hotelmarken haben sich in den letzten 25 Jahren in erster Linie zu Markenunternehmen mit Treueprogrammen entwickelt. Die Bonusgramme dienen der Kundenbindung, verstärken das Direktbuchungsverhalten und lassen dadurch bis zu zehn Prozent mehr an Belegung erzielen. Dieses Beispiel erklärt die Bedeutung von Treueprogammen für den Handelssektor, der neben dem Einzelhandel das Reise- und Gaststättengewerbe umfasst. Da sie zahlreiche persönliche Kundendaten und Kontoinformationen enthalten, sind Treueprogramme das Hauptziel von Cyberangriffen auf den Handelssektor.

Die sensiblen Kundenkonten sind nicht so gut geschützt, wie man annehmen könnte: Laut dem Sicherheitsbericht „State of the Internet – Betrug im Einzelhandel und Gastgewerbe“ wurden zwischen Juli 2018 und Juni 2020 mehr als 100 Milliarden Credential-Stuffing-Angriffe verteilt auf alle Branchen registriert. In der Regel werden diese Attacken von einem Botnet ausgeführt, das sich mit einem gestohlenen oder generierten Nutzernamen und Passwort bei einem Konto anzumelden versucht. Zum Beispiel werden Bots programmiert, um Konten ausfindig zu machen, die für einen sogenannten Account Takeover anfällig sind, also den Zugriff durch Dritte. Häufig kommen dabei auch All-in-One-Anwendungen (AIO) zum Einsatz, die es den Angreifern ermöglichen, den Login oder Account Takeover zu automatisieren.

Handelssektor steht im Fokus

Allein im Handelssektor wurden 63,8 Milliarden derartige Credential-Stuffing-Angriffe registriert. Dabei zielten mehr als 90 Prozent der Attacken auf Einzelhändler und ihre Treueprogramme. Außerdem verwenden Kriminelle SQL-Injection (SQLi) und Local File Inclusion (LFI)-Angriffe. Tatsächlich beobachtete Akamai zwischen Juli 2018 und Juni 2020 mehr als vier Milliarden Web-Angriffe auf den Einzelhandel, das Reise- und Gastgewerbe, was 41 Prozent des gesamten Angriffsvolumens über alle Branchen hinweg entspricht.

„Nutzer- und Bonusprogrammprofile enthalten viele verschiedene persönliche Informationen und manchmal sogar Finanzdaten. All diese Daten können gesammelt, verkauft und gehandelt oder sogar zu umfangreichen Profilen zusammengestellt werden, um damit Straftaten wie Identitätsdiebstahl zu begehen“, sagt Steve Ragan, Akamai Security Researcher und Autor des Sicherheitsberichts.

Als Treiber der Entwicklung hat sich zusätzlich die Corona-Pandemie erwiesen: Gerade während der Hochphase im ersten Quartal 2020 nutzten Kriminelle systematisch aus, dass sich der Webtraffic vervielfachte. So konzentrierten sich die Attacken im Januar 2020 auf die weltweit größten Online-Händler (18 Prozent), beliebte Baumärkte (4 Prozent), sowie Bürobedarf (6 Prozent), Fastfood (3 Prozent). Im Juni 2020 nahmen sich die Angreifer verstärkt Bekleidung und Kosmetika (43 Prozent) sowie Online-Handel (17 Prozent), Bürobedarf (4 Prozent) und Fastfood (3 Prozent) vor. Hauptangriffsziel bleiben dabei die USA – aber auch Großbritannien und Deutschland stehen im Fokus. Ihren Ursprung wiederum haben die Attacken meist in Russland.

Ein Passwort, mehrere Accounts

Bei den Treueprogrammen setzen viele Kunden sehr schwache Passwörter ein oder nutzen ein Passwort für mehrere Accounts. Dadurch werden sie zu leichten Angriffszielen für Hacker. Doch wie gehen die Cyberkriminelle konkret vor? Um neue Konten von Kunden zu identifizieren, die eventuell gefährdet sein könnten, verbreiteten die Hacker alte Listen mit User-Passwort-Kombinationen, die sie systematisch durchprobierten. Betroffen sind demnach Kunden, die ein und dieselbe User-Passwort-Kombination für mehrere Accounts verwenden.

Aber auch die Anbieter von Treueprogrammen machen es den Kriminellen häufig viel zu leicht: So verlangen oft selbst große Bonusprogramme von bekannten Firmen nur eine Handynummer oder ein numerisches Passwort zur Identifizierung. Darüber hinaus bieten Server-Schnittstellen leichte Angriffsziele.

Was also können Verbraucher und Unternehmen dagegen tun?

„Betreiber von Treueprogrammen sollten dringend bessere Identitätskontrollen durchführen und Gegenmaßnahmen ergreifen, um Angriffe auf APIs und Server zu verhindern“, sagt Akamai Security Researcher Steve Ragan. Sie sollten nur starke und lange Passwörter zulassen, die bestenfalls über einen Passwortmanager generiert und verwaltet werden. Auch sollten sie ihre Kunden deutlich sichtbar auffordern, kein Passwort zu verwenden, das sie schon einmal eingesetzt haben. Dies in Kombination mit einer Zwei-Faktor-Authentifizierung ist die beste Methode, um Credential-Stuffing-Angriffe erfolgreich abzuwehren. So bleibt der größte Schatz von Hotels, Einzelhändlern, Restaurant und vielen anderen, nämlich die Daten der Treueprogramme und die damit verbundene Kundenloyalität, unbeschädigt.

Über den Autor: Elmar Witte ist Security Specialist bei Akamai.

(ID:47162382)