Infizierte POS-Terminals Kreditkartenmissbrauch durch Malware im Urlaub

Cyberkriminelle setzen immer öfter gezielt Malware ein, um im Ausland Sicherheitslücken von Kassensystemen anzugreifen und so Kredit­karten­daten auszuspähen. Die Betrugsfälle nehmen nachweislich zu und stellen für Geschäfts­reisende und Urlauber eine steigende Gefahr dar, der Firmen dringend entgegentreten müssen.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Specops Software GmbH

Bitdefender GmbH

Vor allem Geschäftsreisende kennen es: statt vor der Abreise Geld in die entsprechende Fremdwährung umzutauschen, greift man gern auf den unkomplizierten Zahlungsverkehr über die Kreditkarte zurück. Dank der mittlerweile verbreitet eingesetzten Chips auf den Karten soll eine sicherere Datenübertragung als bei herkömmlichen Magnetstreifen gewährleistet sein, und sie gelten als geschützt. Umso mehr überrascht es, dass vor allem Hotels immer häufiger Betrugsfälle im Zusammenhang mit Zahlungskarten melden.

Malware identifiziert Sicherheitslücken in Hotels

Mehrere namenhafte Hotelkonzerne in Übersee bestätigten, dass sensible Kundendaten wie Namen, Kartennummern und Sicherheitscodes bei Bezahlvorgängen über die Kreditkarte an den hauseigenen Points-of-Sale (POS)-Terminals gestohlen wurden. So wurde der kurze Snack im Café oder ein nettes Souvenir aus dem Geschenke-Shop unter Umständen zu einem teuren Vergnügen.

Doch wie kann so etwas passieren? Cyberkriminelle passen sich heute den immer weiter optimierten Sicherheits- und Personalisierungsstandards der Kartensysteme an und finden offenbar geschickt selbst kleinste Lücken innerhalb der Zahlungssicherheitsstandards, um an die gewünschten Daten zu gelangen.

Ihre raffinierten Methoden sind oft nur schwer aufzudecken. Experten gehen davon aus, dass viele Hacker auf RAM-Scraping – eine Malware, die Kredit- oder andere Zahlungskartendaten am POS-Terminal ausliest – und Keylogging-Funktionalitäten zurückgreifen. Die Malware dahinter hat sich zu einer richtigem Schadsoftware-Netzwerk entwickelt und kann sehr gezielt Daten herausfiltern.

Andere Länder, andere Sicherheitsstandards

Die Angst vor Kreditkartenmissbrauch ist demnach nicht unbegründet. Doch gibt es hier durchaus länderspezifische Unterschiede. Während sich die Kreditkarten-Betrugsfälle in den Vereinigten Staaten häufen, treten sie in Europa bedeutend weniger auf. Und das liegt unter anderem daran, dass europäische Karten - vor allem innerhalb der EU - überwiegend mit einem integrierten Schaltkreis-Chip ausgestattet sind, der wesentlich schwieriger zu entschlüsseln ist.

Dieser sogenannte IC-Chip verfügt über mathematische Rechenfähigkeiten, so dass die Karte selbst ähnlich wie ein Computer Berechnungen durchführen kann. Zudem ist bei fast allen Transaktionen eine PIN notwendig. Das heißt: Eine gefälschte Unterschrift reicht nicht aus, um an das Geld zu gelangen. Die V Pay, eine Bezahlkarte mit Chipkarte und PIN-Funktion, bedeutet also deutlich mehr Sicherheit. In den USA sind im Vergleich dazu Transaktionen mit magnetstreifenbasierten Karten häufig; und entsprechend hoch ist die Anzahl der verzeichneten Hackerangriffe. Im Oktober 2015 wurde in den Vereinigten Staaten jedoch das Ende des schwarzen Streifens eingeläutet – mit dem Ziel endgültig auf chipbasierte Karten umzustellen.

Unternehmen können POS wirksam vor Kreditkarten-Betrug schützen

Trotz gut gesicherter Chip-und-PIN-Karten in Europa bleibt die POS-Malware weltweit ein Problem – gerade in der Hotellerie. Glücklicherweise gibt es mehrere Methoden, um sich vor solchen Angriffen zu schützen. Die meisten Kassensysteme sind einfache Windows-PCs mit angeschlossenen Geräten wie einem Belegdrucker, einem Barcode-Scanner und der Kassenschublade. Hier ist es oft schon eine Option, zu Antivirus-Schutzprogrammen für Windows zu greifen.

Zudem wird geraten, dass Unternehmen ihre Erkennungsfunktionen regelmäßig überprüfen und die Risiken und Schwachstellen des Systems bewerten sollten. Darüber hinaus müssen Betriebssysteme und Security-Programme immer auf den neuesten Stand gebracht werden, um sich gegen neue Software- sowie Hardware-Manipulationen zu schützen. Schwachstellen sollten darüber hinaus so schnell wie möglich gepatcht werden und es sollte Intrusion-Detection-Software genutzt werden, um abnormales Verhalten im Netzwerk schnell zu erkennen.

Was jeder einzelne tun kann

Auch beim persönlichen Nutzungsverhalten von Kreditkarten ist Vorsicht geboten. Sowohl online als auch offline sollte mit den Zahlungsdaten vorsichtig umgegangen werden. Das heißt, dass Karten nie unbeaufsichtigt gelassen oder aus der Hand gegeben werden sollten, denn persönliche Daten und Sicherheitscodes können schnell und unbemerkt kopiert oder abgeschrieben werden. Zudem ist es ratsam, die Kreditkartenabrechnungen immer genau zu überprüfen und nachzuvollziehen, ob auch alle Buchungen tatsächlich selbst getätigt wurden.

Falls es doch zum Diebstahl oder zum Verlust der Kreditkarte gekommen ist, sollte umgehend der Sperr-Notruf (+49 116 116) informiert und die Karte gesperrt werden. So kann oft noch weiterer Schaden verhindert werden.

Über den Autor: Bogdan Botezatu ist leitender Analyst für digitale Bedrohungen bei Bitdefender. Er hat umfangreiche Erfahrung auf dem Gebiet der Computernetzwerke und Malware-Forschung und arbeitet bereits seit 2007 bei dem rumänischen Unternehmen. Botezatu war bei Bitdefender unter anderem Mitglied der Teams, die für die Entwicklung des Bitdefender USB Immunizer und der Bitdefender Removal Tools verantwortlich zeichnen.

(ID:45389699)