BSI: 1.000 deutsche Online-Shops verlieren Nutzerdaten
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt Alarm. Aktuell liegen der Behörde Informationen vor, nach denen aktuell mindestens 1.000 deutsche Online-Shops von Online-Skimming betroffen sind.
Dabei nutzen Cyber-Kriminelle Sicherheitslücken in veralteten Versionen der Shop-Software, um schädlichen Programmcode einzuschleusen. Dieser späht dann beim Bestellvorgang die Zahlungsinformationen der Kunden aus und übermittelt sie an die Täter. Laut BSI, sollen vor allem Online-Shops betroffen sein, die die Shop-Software Magento einsetzen. Ein Fehler im Javascript-Handling habe es den Angreifern überhaupt erst ermöglicht, die Nutzerdaten abzugreifen.
Das BSI verweist auf den Twitter-Account des Computer Emergency Response Team für Bundesbehörden (CERT-Bund), das die hier veröffentlichte Liste der betroffenen Stores verlinkt hat.
Basierend auf einer von einem Entwickler von Sicherheitstools für Magento durchgeführten Analyse wurden bereits im September 2016 weltweit knapp 6.000 von Online-Skimming betroffene Online-Shops identifiziert, darunter auch mehrere hundert Shops deutscher Betreiber. CERT-Bund benachrichtigte daraufhin die jeweils zuständigen Netzbetreiber in Deutschland zu betroffenen Online-Shops. Aktuellen Erkenntnissen zufolge wurde diese Infektion von vielen Betreibern bis heute nicht entfernt oder die Server wurden erneut kompromittiert. Die von den Angreifern ausgenutzten Sicherheitslücken in Magento wurden von den Shop-Betreibern trotz vorhandener Softwareupdates offenbar nicht geschlossen. Dies ermöglicht Cyber-Kriminellen, weiterhin Zahlungsdaten und andere bei Bestellungen eingegebene persönliche Daten von Kunden auszuspähen. Die Anzahl aktuell bekannter betroffener Online-Shops in Deutschland ist dadurch auf mindestens 1.000 angestiegen.
Das BSI habe in den vergangenen Tagen zahlreiche deutsche Betreiber unter den betroffenen Seiten identifiziert und anschließend kontaktiert. In ihrer Medienmitteilung weist die Behörde darauf hin, dass die Verpflichtung zur Absicherung von Systemen nicht nur für Unternehmen, sondern auch für alle anderen geschäftsmäßigen Betreiber von Websites gilt.
Massives Problem, zumindest bei älteren Magento Versionen ist, dass die Updatebarkeit wegfällt, weil häufig Anpassungen am Kern der Software gemacht werden (müssen). Das heißt, dass ein Update zum Teil nur mit relativ großem Aufwand durchführbar ist, weshalb sich vermutlich viele Betreiber dagegen entscheiden.
Es ist auch ein Fehler, direkt auf Magento zu setzen. Wenn man sich einen Onlineshop auf Magento leisten kann, dann muss auch das Geld für umfangreiche Updates vorhanden sein.
Und dennoch ist es seit letztem Jahr, wenn nicht sogar noch länger, vorgeschrieben seine Software auf dem aktuellen Stand zu halten.
Siehe https://www.gesetze-im-internet.de/tmg/__13.html
Da steht was vom Stand der Technik drin.. Ob das auf aktuellste Software zutrifft? Mein iPhone ist auch Stand der Technik, nur paar Features fehlen, weil’s noch kein 7er ist..
Ich denke, der Fall wird sehr unangenehm für die betroffenen Shopbetreiber und uns Kunden werden..
Reformator: dazu muss man wissen, dass §13 unter „Abschnitt 4 – Datenschutz“ des TMG aufgeführt wird. Es geht letztendlich nur um Software und wie diese verarbeitet wird.
Ok, danke. Na, dann wird’s ja wirklich noch interessanter. Da ja dann sicherlich gerichtlich entschieden werden muss, ob die Shopbetreiber ungesetzlich und fahrlässig gehandelt haben, und somit haftbar sind
OK die Infektion bei einem Magento-Shop mit Visbot lässt sich innerhalb von 2 Stunden inkl. nachträglicher Tests restlos entfernen. Um mal zu checken, ob euer MAgento Shop betroffen ist: https://www.magereport.com/ und dann Shopdomain eingeben.