Shops mit Fake-Artikeln: 330.000 Kreditkartendaten ins Netz gestellt

Auch wenn es niemand wahrhaben möchte, kann es passieren, dass die Daten ihrer Kreditkarte missbraucht werden, wenn sie im Internet damit bezahlt haben. Wenn man dann noch auf ausländische Shops vertraut, die oft gefälschte Kleidung und Waren verkaufen, macht man sich zum leichten Angriffsziel für Kriminelle.

Warum? – Die meisten dieser Onlineshops kämpfen mit ein und demselben Sicherheitsproblem: Jedes Mal, wenn ein Kunde oder eine Kundin einen Einkauf tätigte, wurden seine Kreditkartendaten in einer öffentlich zugänglichen Datenbank gespeichert.

Daten von 330.000 Kreditkarten im Internet

Seit dem 6. Januar fand eine Datenbank mit Hunderttausenden von unverschlüsselten Kreditkartennummern und entsprechenden Informationen der Karteninhaber den Weg ins World Wide Web, berichtet TechCrunch. Zum Zeitpunkt des letzten Dienstages (24.01.23) enthielt das mittlerweile offline genommene Netzwerk eine Datenbank mit zirka 330.000 Kreditkartennummern, Namen der Karteninhaber, vollständigen Rechnungsadressen und allen anderen Informationen der Karte. Mit Letzteren fällt es Kriminellen leicht, betrügerische Transaktionen und Käufe mit den Kreditkarten durchzuführen.

Jedes Mal, wenn Kunden neue Bestellungen aufgaben, stiegen die Daten des Netzwerkes in Echtzeit.

Das große Problem: Die bis zuletzt online verfügbare Datenbank war theoretisch für jeden User des Internets zugänglich: Man musste nur die IP-Adresse kennen und schon konnte man auf alle Daten zugreifen – es gab nämlich keinen Passwortschutz oder Ähnliches.

Betroffene Onlineshops

• spraygroundusa.com
• ihuahebuy.com
• igoodlinks.com
• ibuysbuy.com
• lichengshop.com
• hzoushop.com
• goldlyshop.com
• haohangshop.com
• twinklebubble.store
• spendidbuy.com

Sicherheitsforscher Anurag Sen fand die offengelegten Kreditkartenaufzeichnungen und bat TechCrunch um Hilfe bei der Meldung an die KartenbesitzerInnen.

Forderung von Lösegeld im Gegenzug zu den Daten

Leider war Anurag Sen in diesem Fall nicht der erste, dem die Datenbank auffiel. Denn während seines Durchforstens entdeckte er eine Lösegeldforderung, die in der Datenbank hinterlassen wurde. Anscheinend hatte also jemand anderes die verschlüsselten Daten gefunden und macht sie sich jetzt zunutze, anstatt zu versuchen, die Eigentümer zu identifizieren. Die unbekannte Person behauptet, eine Kopie des gesamten Datenbankinhalts der Kreditkartendaten genommen zu haben und würde sie gegen eine kleinere Summe von Kryptowährung zurückgeben.

Viele Kundendaten aus den USA – Shops operieren aus China

Nach einer Überprüfung der Daten durch TechCrunch, lässt sich zeigen, dass die meisten Kreditkartennummern im Besitz von KarteninhaberInenn in den Vereinigten Staaten sind. Bestätigt wurde dies ebenfalls durch die Kontaktaufnahme seitens TechCrunch von mehreren Personen in den USA, die die Richtigkeit ihrer offengelegten Daten erschreckend beglaubigten.

Auch wurden einige Onlineshops identifiziert, die an der Verbreitung der Daten beteiligt waren. Die meisten von ihnen behaupten, von Hongkong aus zu operieren.

Im Gegensatz zu seriösen Onlineshops, weisen die Gefälschten jedoch Rechtschreibfehler auf der Webseite und einen auffälligen Mangel an Kundenbewertungen auf, auch wenn sie auf den ersten Blick sehr ähnlich zu den großen Marken klingen (Bsp. Spayground).

IP-Adresse mittlerweile offline

Auch wenn noch nicht geklärt ist, wer für den Kreditkartenbetrug verantwortlich ist, konnte TechCrunch wenigstens herausfinden, dass die Datenbank von einem Kunden des Unternehmens Tencent betrieben wurde. TechCrunch kontaktierte Tencent wegen der Datenbank seines Kunden, in der Kreditkarteninformationen verloren gingen, und das Unternehmen reagierte schnell. Die Datenbank des Kunden ging kurze Zeit später offline.

Global Communications Director Carrie Fan sagt: „Als wir von dem Vorfall erfuhren, haben wir sofort den Kunden kontaktiert, der die Datenbank betreibt, und sie wurde sofort abgeschaltet. Datenschutz und Sicherheit haben bei Tencent höchste Priorität. Wir werden weiterhin mit unseren Kund:innen zusammenarbeiten, um sicherzustellen, dass sie ihre Datenbanken auf sichere Weise pflegen“.

Quellen:

TechCrunch, T3N

Lesen Sie auch unsere Faktenchecks:
Andrea Berg ist nicht tot!
Vorsicht vor falschen Anrufen der Stadtwerke!
Eine irreführende Grafik verharmlost Tote durch Klimawandel