Ein Händler kann bei einer Bestellung doppelt verlieren: zunächst durch den Versand eines Ersatzes und anschließend durch die Genehmigung einer betrügerischen Rückerstattung.
In einer Analyse vom 2. November beschrieb Flashpoint Aktivitäten im Untergrund im Zusammenhang mit dem Missbrauch von Rückerstattungen, Geschenkkartenbetrug, der Imitation von Händlern und dem Zugang zu kompromittierten Onlineshops im Vorfeld der Weihnachtseinkaufssaison.
Für die Verantwortlichen für die Sicherheit im Einzelhandel stellt sich die praktische Frage, ob Support-, Zahlungs- und Cybersicherheitsteams verdächtige Aktivitäten verknüpfen können, bevor eine weitere Rückerstattung genehmigt oder mehr Kundeninformationen offengelegt werden.
Was Flashpoint in Untergrund-Communities fand
In seiner Analyse zum Betrug im Einzelhandel, hob Flashpoint mehrere miteinander verbundene Risiken hervor:
- Missbrauch von Rückerstattungen: Falsche Angaben zu nicht zugestellten Sendungen, leeren Paketen oder falschen Artikeln; bei einigen Maschen werden sowohl Ersatzware als auch Rückerstattungen angestrebt.
- Manipulation des Supports: Versuche, die Verifizierung zu umgehen, sowie gefälschte Kundenservicekonten, die Kunden auf externe Kanäle lotsen.
- Geschenkkartenbetrug: Gestohlene Zahlungsdaten werden zum Erwerb von Geschenkkarten genutzt; Beteiligte werden angeworben, um Waren zu kaufen oder deren Wert umzuwandeln.
- Zum Verkauf angebotener Shop-Zugang: Anzeigen, die Zugang zu E-Commerce-Websites anbieten, darunter solche, die Shopify, Magento und OpenCart verwenden.
Die Angebote belegen keine Schwachstellen in diesen Plattformen. Flashpoint zufolge wurden die Methoden für den Erstzugang nicht durchgängig offengelegt. Die Analyse beschreibt beobachtete Diskussionen und Anzeigen, ohne einen branchenweiten Anstieg erfolgreicher Betrugsfälle zu quantifizieren.
Support-Mitarbeitern eine Möglichkeit geben, Ausnahmen zu überprüfen
Händler sollten prüfen, welche Entscheidungen Mitarbeiter treffen können, wenn ein Kunde die Zustellung beanstandet, einen Ersatz anfordert oder eine Änderung seines Kontos wünscht. Für jede Aktion braucht es einen definierten Verifizierungsprozess und einen klaren Eskalationsweg, wenn die Belege widersprüchlich sind.
Schulungen zu Social-Engineering-Angriffen sollten solche Alltagssituationen einbeziehen. Mitarbeiter müssen üben, dringende oder emotionale Anliegen zu bearbeiten und zugleich die für Rückerstattungen und die Kontowiederherstellung erforderlichen Prüfungen einzuhalten.
Die Folgen manipulierter Mitarbeiterentscheidungen gehen über den Einzelhandel hinaus. Bei separaten Social-Engineering-Vorfällen bei Baker McKenzie und Troutman Pepper Locke wurden Dateien mit personenbezogenen Informationen offengelegt.
Für Händler ist es ein sinnvoller Test, ob ein Mitarbeiter erkennen kann, dass ein anderes Team bereits einen Ersatz oder eine Rückerstattung für dieselbe Bestellung ausgestellt hat. Wenn Systeme diese Historie nicht gemeinsam anzeigen können, sollte vor der Genehmigung einer weiteren Ausnahme eine dokumentierte Prüfung eingeführt werden.
Auch Kunden brauchen eine einfache Möglichkeit, offizielle Supportkanäle zu erkennen. Veröffentlichen Sie diese Wege klar und stellen Sie einen Meldeprozess für mutmaßliche Imitationskonten bereit.
Prüfen Sie den Onlineshop ebenso wie die Transaktion
Ein scheinbar gewöhnlicher Checkout kann Zahlungsdiebstahl verbergen. In einer im Mai 2022 veröffentlichten Untersuchung dokumentierte Microsoft, wie Angreifer bösartigen Code versteckten und JavaScript als vertraute Analyseskripte tarnten.
Damit wird die Integrität des Onlineshops zu einem eigenständigen Problem – unabhängig davon, ob eine einzelne Bestellung die Betrugsprüfung besteht.
IT-Teams im Einzelhandel sollten Administratorkonten überprüfen, nicht mehr benötigte Zugriffsrechte entfernen, sofern unterstützt eine Multi-Faktor-Authentifizierung erzwingen und unerwartete Änderungen an Checkout-Seiten und installierten Integrationen untersuchen. Umfassendere Maßnahmen zur Verhinderung von Datenschutzverletzungen sollten die über diese Konten verfügbaren Kundendatensätze und Bestellhistorien abdecken.
Bei Geschenkkarten sollten Kauf- und Einlöseaktivitäten gemeinsam überprüft werden. Auf eine markierte Zahlung folgende schnelle Einlösung verdient eine Untersuchung, doch ein großer Kauf allein sollte nicht automatisch als Beweis für Betrug behandelt werden.
Testen Sie, ob Teams die Belege verknüpfen können
Führen Sie vor dem Beginn des Hauptgeschäfts eine kurze Übung mit Kundenservice, Betrugsbekämpfung, E-Commerce-Administratoren und Sicherheit durch. Verwenden Sie eine fiktive Bestellung mit einer Beanstandung der Zustellung, einer Ersatzanforderung und einer verdächtigen Kontenänderung.
Fragen Sie jedes Team:
- Welche Bestell-, Zahlungs- und Kontoereignisse können Sie sehen?
- Welche Aufzeichnungen würden Sie für eine Untersuchung sichern?
- Wer ist befugt, eine Rückerstattung, einen Ersatz oder eine Kontenänderung zu pausieren?
Die Übung sollte Lücken offenlegen, etwa wenn Support-Mitarbeiter Zahlungswarnungen übersehen oder Sicherheitsanalysten der für die Bewertung einer Kontenänderung erforderliche Bestellkontext fehlt.
Bewerten Sie das Ergebnis anhand praktischer Kriterien: Zeit bis zur Identifizierung der verknüpften Ereignisse, Zeit bis zum Erreichen eines autorisierten Entscheidungsträgers und die Frage, ob legitime Kunden echte Probleme weiterhin lösen können. Prüfen Sie Fehlalarme gemeinsam mit bestätigten Verlusten, damit strengere Kontrollen die Kosten nicht einfach auf Kunden und Supportteams verlagern.
Die nützlichste Verbesserung könnte in einer gemeinsamen Fallakte und einem klaren Verantwortlichen für Eskalationen bestehen. Händler sollten erklären können, warum eine Rückerstattung, Einlösung oder Kontenänderung genehmigt wurde – und diese Entscheidung rekonstruieren können, wenn neue Belege hinzukommen.
Mehr dazu: Die Imitation von Händlern ist eine Möglichkeit, wie Angreifer Vertrauen ausnutzen. Erfahren Sie, wie gefälschte Gerichtsschreiben eine ähnliche Taktik einsetzen, um LodaRAT auszuliefern, und was Sicherheitsteams prüfen sollten.