Was versteht man unter Skimming in der Cybersicherheit?

Skimming ist im Bereich der Cybersicherheit eine schnelle und interaktive Methode, um Zahlungskartendaten und persönliche Informationen von Geldautomaten und Kassenscannern zu erlangen. Überwachungsgeräte, unerwünschte E-Mails und bösartiger JavaScript-Code, der beim Cyberdiebstahl eingesetzt wird, erfassen und übertragen heimlich und in Echtzeit Karteninhaberdaten, ohne dass das Opfer davon Kenntnis hat. Die Lösung für das Problem der verspäteten Erkennung und Untersuchung liegt jedoch in der Nutzung innovativer Lösungen wie RiskRecon von Mastercard. 

Es gibt zwei Hauptarten von Skimming-Angriffen: 

• Beim physischen Skimming werden Kreditkartenskimmer an Zahlungsterminals, Geldautomaten, Zapfsäulen usw. angebracht. Sie zielen auf physische Karten und persönliche Transaktionen ab.

• Beim digitalen Skimming werden URLs in Spam-/Phishing-E-Mails maskiert oder E-Commerce-Websites und -Apps aus der Ferne mit Malware infiziert, die während des Bezahlvorgangs heimlich Zahlungsdaten online stiehlt (Magecart-Angriff).

Skimming hat seinen Namen – elektronisches Kartenskimming (E-Skimming) – von der Verwendung von Software zum Diebstahl von Zugangsdaten, die im Online-Shop eines Einzelhändlers installiert wird. Wenn ahnungslose Kunden den Warenkorb nutzen, um eine Zahlungstransaktion auf der Website einzuleiten, kopieren Hacker unbemerkt die in die Zahlungsfelder eingegebenen Debit- oder Kreditkarteninformationen.  

Ein Skimming-Angriff kann zu einer Datenpanne führen, die die finanzielle Sicherheit sabotiert und die Identität des Kontoinhabers offenlegt. Die gestohlenen Kartendaten werden dann verwendet, um Konten mit unautorisierten, betrügerischen Transaktionen zu durchsuchen. Doch Täter hören hier nicht auf – sie können sich auch leicht als E-Mail-Adressen, Sozialversicherungsnummern und andere Informationen auf dubiosen Schwarzmarktseiten ausgeben oder verkaufen. Die Cybersicherheit von Banken ist zu einem großen Anliegen geworden, da Betrüger Skimmer einsetzen, um Kreditkarteninformationen in großem Maßstab zu stehlen. Das FBI schätzt, dass E-Skimming-Betrügereien Karteninhaber und Banken jährlich über eine Milliarde Dollar kosten. Kein Wunder, dass es als Standardangriff für Cyberkriminelle explodiert ist. 

Neben dem Risiko von Überziehungsgebühren, maximalen Kreditkarten und geklonten Konten kann Cybersicherheits-Skimming die beteiligten Parteien negativ beeinflussen:

• Gesperrte Konten

• Malware-Installation

• Veränderte oder gelöschte Daten

• Störungen und Ausfallzeiten

• Unzählige Stunden mit dem Anfechten von Gebühren und dem Ausfüllen von Formularen

• Emotionale Belastung durch die Verletzung

• Verlust des Kundenvertrauens aufgrund von Reputationsschäden

E-Skimmer oder Online-Skimmer suchen hauptsächlich nach Zahlungsinformationen für betrügerische Käufe und Diebstahl. Genauer gesagt, hier ist, was ein Bedrohungsakteur ins Visier nimmt:

• Kreditkartendaten – Kartennummer, Ablaufdatum, CVV-Code

• Persönliche Einblicke – Name, E-Mail-Adresse, Anschrift, Telefonnummer, Sozialversicherungsnummer und andere Identitätsinformationen

Ein Geldautomatenskimmer ist wohl das häufigste Beispiel für ein Skimming-Gerät. Darüber hinaus tauschen unehrliche Händler authentische mobile Kassenterminals (POS-Terminals) gegen manipulierte Geräte aus, die Kreditkarteninformationen lesen und speichern. Weitere raffinierte Methoden, mit denen sich Skimmer tarnen, um mit ihrer Umgebung zu verschmelzen, sind: 

• Gefälschte PIN-Overlays, die PINs abfangen 
• Monitore, die Daten von kontaktlosen Zahlungen abfangen und weiterleiten, wie QR-Code-Scanner und Apple Pay

Kreditkarten-Skimmer erhalten Informationen durch ausgeklügelte Täuschung und genial diskrete Taktiken mit kompromittierten Zahlungsautomaten. Sobald es installiert ist und Informationen weitergeben kann, liest es den Magnetstreifen oder Chip für diskretionäre Daten und ein Kryptogramm, das Transaktionen validiert. So funktionieren sie: 

• Installation und Datenerfassung: Externe Skimming-Geräte haften unsichtbar an Geldautomaten in der Nähe des Kartenslots oder des magnetischen Swipe-Lesers, während austauschbare Pad-Overlays oder Lochkameras die PIN des Kunden aufzeichnen. Intern verbergen Zapfsäulen und POS-Systeme manipulierte Kartenleser, die Abrechnungsdaten extrahieren. 

• Übertragung: Manchmal erfordert das sofortige Abrufen von Debit- oder Kreditkartennummern eine drahtlose Übertragung per Bluetooth an ein Repository oder ein Backup-Gerät an einem anderen Ort.  

Ja, Kartenskimmer stellen eine ernsthafte Bedrohung für Bankkonten und Gelder dar. Ein einziger Fall von Kreditkartenklonierung genügt, um ein gesamtes Girokonto zu leeren. Hart verdientes Geld kann in Sekundenschnelle verschwinden, wenn ein autorisierter Nutzer mit einer gefälschten Karte auf Einkaufstour geht. Während POS-Transaktionen und Geldabhebungen an Geldautomaten in der Regel sofort erfolgen, können nach dem Skimming ungenaue medizinische Aufzeichnungen und andere Dokumente leicht gefälscht werden. Der Erwerb medizinischer Leistungen und verschreibungspflichtiger Medikamente durch Betrug hat für die Ausgebeuteten einen höheren Preis in Form von medizinischen Schulden.

Um der wachsenden Bedrohung durch E-Skimming entgegenzuwirken, ergreifen Sie folgende Vorsichtsmaßnahmen gegen Skimmer: 

• Nutzen Sie die maschinelle Lerntechnologie von RiskRecon zur Risikobewertung in komplexen Geschäftsökosystemen. 

• Software, Plugins und Betriebssysteme sollten regelmäßig auf die neuesten sicheren Versionen aktualisiert werden. 

• Begrenzen Sie die Nutzung von Kartenlesern in Ihrem Unternehmen 

• Schützen Sie sich vor Skimming, indem Sie nur die Mindestkundendaten für die Transaktion sammeln 

• Verwenden Sie HTTPS- und SSL/TLS-Zertifikate, um alle Datenübertragungen während des Checkouts und der Kontoanmeldung zu verschlüsseln 

• Halten Sie sich an die Datensicherheitsstandards der Zahlungskartenbranche zur Sicherung von Zahlungsinformationen 

• Überprüfen Sie alle Drittanbieter-Skripte und -Tools gründlich, bevor Sie sie in den Website-Code integrieren 

• Überwachen Sie den Site-Verkehr, den Quellcode und die Server aktiv auf unautorisierte Änderungen  

• Sichern Sie den Standortcode und die Datenbanken, falls eine Wiederherstellung von einem vorherigen Ausfallpunkt erforderlich ist  

Da Online-Shopping immer beliebter wird, ist ein proaktiver Ansatz in Bezug auf Sicherheit und Prävention von Hackerangriffen von entscheidender Bedeutung. Daher sollten Online-Händler neben der Durchführung von Penetrationstests ihre Webshop-Besucher dazu anhalten, Folgendes zu tun, um das Risiko eines E-Skimmer-Angriffs zu minimieren: 

• Reservieren Sie nur eine Karte für den Online-Einkauf 

• Transaktionsbenachrichtigungen aktivieren 

• Setze starke, eindeutige Passwörter 

• Verbinden Sie sich mit öffentlichen WLAN-Netzwerken über ein vertrauenswürdiges VPN 

• Erwägen Sie virtuelle Karten 

• Überprüfen Sie regelmäßig Kontoauszüge auf ungewöhnliche Belastungen 

Wachsamkeit und Vorsicht sind die wichtigsten Faktoren, um einen Kreditkarten-Skimming-Versuch zu verhindern, der schwer zu erkennen sein kann. Der beste Weg, einen Angriff zu erkennen, ist, Anzeichen von Manipulation, beschädigten Teilen oder Eindringen im Auge zu behalten. Wackelige Lesegeräte und falsch ausgerichtete Schlitze sind Warnsignale – Betrüger versuchen oft, ihre Spuren mit Kleber oder Klebeband zu verwischen, also fahren Sie mit dem Finger über den Kartenleser, um sicherzugehen, dass keine klebrigen Rückstände vorhanden sind. Weitere Tipps bei der Nutzung von Debit- oder Kreditkarten sind:

• Prüfen Sie, ob die Tastaturabdeckung oder die Tasten schwergängig sind.

• Stellen Sie sich auf eine ungewöhnlich lange Wartezeit ein, während Ihre Karte „verarbeitet“ wird.

• Stellen Sie sicher, dass der Kassierer Ihre Kreditkarte nicht aus dem Blickfeld zieht

Cybersicherheitstrends zeigen, dass der Druck auf den Schutz privater Daten zunimmt. RiskRecon hat einen proprietären Algorithmus entwickelt, der Systemschwachstellen automatisch identifiziert und die Risikorisiken genau bewertet. Während Sie die Nutzung des Tools in Betracht ziehen, sollten Sie die folgenden Anzeichen von Bedrohungen auf Zahlungsabwicklungswebseiten bewerten:

• Plötzliches Einloggen auf einer Website, die Sie zuvor noch nie besucht haben

• Beunruhigende Browser-Popups und Werbeanzeigen

• Browserwarnungen vor unsicheren Seiten

• Rechtschreib- und Grammatikfehler auf gefälschten Händlerseiten

RiskRecon bietet die kontinuierliche Überwachung und Transparenz, die für ein effizientes Management von Cyberrisiken Dritter in großem Umfang erforderlich sind. Durch die direkte Analyse der Schwachstellen der internetbasierten Webanwendungen oder Programme von Anbietern generieren wir präzise, risikopriorisierte Ergebnisse, um die Behebung dieser Schwachstellen voranzutreiben. Unser datengetriebener Ansatz ermöglicht es Kunden, Bedrohungen zu quantifizieren, Sanierungszyklen zu verkürzen und vertrauenswürdige Geschäftsökosysteme aufzubauen. Melden Sie sich für eine kostenlose 30-Tage-Testversion an, um bis zu 50 Anbieter zu bewerten und Ihren eigenen RiskRecon-Bericht zu erhalten.