Magento-Skimming. Update 2017: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schätzt, dass aktuell über 1.000 deutsche Magento-Shops von Skimming betroffen sind, und das trotz der Warnungen von September 2016.
Inhalt
Update 2017: Über 1000 Magento-Shops von Skimming betroffen!
Das Schlimme: Trotz der Erkenntnisse vom September letzten Jahres haben viele Magento-Betreiber ihren Shop nicht abgesichert, und die Updates des Herstellers nicht eingespielt. Die Anzahl der infizierten Shops ist angestiegen, und zwar auf mittlerweile über 1000 in Deutschland! Die Hacker freuen sich, weiterhin Kreditkartendaten abgreifen zu können, und was die Kunden sonst noch so eingeben, zum Beispiel E-Mail-Adressen und Bestelldaten.
BSI verweist auf Telemediengesetz
„Basierend auf einer von einem Entwickler von Sicherheitstools für Magento durchgeführten Analyse wurden bereits im September 2016 weltweit knapp 6.000 von Online-Skimming betroffene Online-Shops identifiziert, darunter auch mehrere hundert Shops deutscher Betreiber. […]
Das CERT-Bund des BSI hat heute erneut die jeweils zuständigen Netzbetreiber in Deutschland zu betroffenen Online-Shops in ihren Netzen informiert und bittet Provider, die Informationen an ihre Kunden (Shop-Betreiber) weiterzuleiten.
„Leider zeigt sich nach wie vor, dass viele Betreiber bei der Absicherung ihrer Online-Shops sehr nachlässig handeln. Eine Vielzahl von Shops läuft mit veralteten Software-Versionen, die mehrere bekannte Sicherheitslücken enthalten“, erklärt BSI-Präsident Arne Schönbohm. “
Nach § 13 Absatz 7 TMG sind Betreiber von Online-Shops verpflichtet, ihre Systeme nach dem Stand der Technik gegen Angriffe zu schützen. Eine grundlegende und wirksame Maßnahme hierzu ist das regelmäßige und rasche Einspielen von verfügbaren Sicherheitsupdates. […]
Betreiber von Online-Shops auf Basis von Magento können mit dem kostenfreien Dienst MageReport überprüfen, ob ihr Shop-System bekannte Sicherheitslücken aufweist und von den aktuellen Angriffen betroffen ist. Zu jedem erkannten Problem werden detaillierte Informationen zu dessen Behebung bereitgestellt.“ Quelle: BSI 9.1.17.
- Soweit die Presseerklärung des BSI und das Update der Skimming-Meldung.
- Fazit: Viele Magento-Shopbetreiber nehmen Skimming auf die leichte Schulter !
Nach Untersuchungen des Sicherheitsexperten Gwillem (Willem de Groot) sind weltweit rund 6000 Magento-Shops von Skimming betroffen! Auch für WordPress-Händler ist das eine Warnung, denn treffen kann es jedes System.
Wie funktioniert Skimming?
Zunächst schleußen Hacker Schadcode in eine Installation. Via Javascript werden dann die Kreditkartendaten ausgelesen und an einen externen Server umgeleitet. Weiter geht es im Darknet, wo die Hacker die erbeuteten Datensätze verkaufen. Was dagegen hilft? Sicherheitstipps beachten!
SSL ist Pflicht!
Auch deutsche Shops sind kompromittiert! Was auffällt: Einige verzichten auf eine SSL-Verschlüsselung, und das auch noch auf Bestell- und Kassenseiten, sowas ist unverzeihlich! SSL schützt zwar nicht vor allen Angriffen, aber für Shops ist es Standard. Am besten ist eine komplette Umstellung von HTTP auf HTTPS für die gesamte Shopsite!
Schadcode entdecken
Wo nistet sich Schadcode in WordPress ein? Zum Beispiel in einem Uploadverzeichnis wie der Mediathek. Besonders gefährdet für das Skimming sind natürlich die Shopseiten, speziell die Checkout-Page (Kassenseite), aber auch Zahlungs-Plugins. Hier solltest du ab und zu ein Auge auf den Quellcode richten.