Laut dem Bundesamt für Sicherheit und Informationstechnik (BSI) sollen aktuell mindestens 1000 deutsche Online-Shops von Online-Skimming betroffen sein. Dies liegt an veralteter Shopsoftware, durch die Cyber-Kriminelle schädlichen Programmcode über Sicherheitslücken einschleusen können.

Beim Bestellvorgang späht dieser anschließend Zahlungsinformationen der Kunden aus, um diese an die Täter zu übermitteln. Betroffene Shops basieren auf der weit verbreiteten Software Magento.

Für Nutzer ist der Datenabfluss und der eingeschleuste Code üblicherweise nicht erkennbar. Dem BSI liegen allerdings Informationen vor, wie viele Zahlungsdaten bereits abgeflossen sind.

Bereits im September 2016 wurden weltweit knapp 6.000 von Online-Skimming betroffene Online-Shops identifiziert. Shops deutscher Betreiber waren ebenfalls darunter. Daraufhin benachrichtigte das CERT-Bund die jeweils zuständigen Netzbetreiber der betroffenen deutschen Online-Shops. Von vielen Betreibern wurden aktuellen Erkenntnissen zufolge diese Infektion bis heute nicht entfernt. Trotz vorhandener Shopupdates wurden die Lücken von den Shop-Betreibern offenbar nicht geschlossen. Dadurch ist es den Kriminellen weiterhin möglich, Zahlungsinformationen abzugreifen. Mindestens 1000 betroffene Online-Shops gibt es inzwischen.

Zuständige Netzbetreiber wurden am 09.01.2017 erneut vom CERT-Bund des BSI auf die Problematik hingewiesen und das BSI bittet die Provider, ihre Kunden (Shop-Betreiber) zu informieren.

Das BSI weist in der Meldung darauf hin, dass alle geschäftsmäßigen Betreiber die Verpflichtung zur Absicherung von Systemen haben. Dies gilt auch für Websites von Privatpersonen oder Vereinen, wenn mit deren Betrieb dauerhaft Einnahmen generiert werden. Bereits, wenn bezahlte Werbung auf der Seite geschaltet wird, ist dies gültig.

Betreiber von Online-Shops auf Basis von Magento können mit dem kostenfreien Dienst MageReport überprüfen, ob ihr Shop-System bekannte Sicherheitslücken aufweist und von den aktuellen Angriffen betroffen ist. Zu jedem erkannten Problem werden detaillierte Informationen zu dessen Behebung bereitgestellt.

(ms, hannover)

(siehe auch Bundesamt für Sicherheit und Informationstechnik:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE