Hotelkette Hyatt entdeckt Malware auf Kassensystemen

Erneut hat eine Hotelkette Malware auf Zahlungssystemen gefunden, die möglicherweise Kreditkartendaten abschöpfte. Hyatt Hotels ist etwa in den deutschen Städten Berlin, Düsseldorf, Hamburg, Köln und Mainz vertreten. Wo das Schadprogramm tatsächlich auftrat, ist unbekannt.

Hyatt-Hotel Köln (Bild: Hyatt)

In einer Mitteilung an Kunden und Presse heißt es, die Untersuchung dauere an. Man habe externe Cybersecurity-Experten hinzugezogen. Zudem seien für die Zukunft Schritte unternommen worden, um die Sicherheit zu stärken. Die aus den USA stammende Kette bittet ihre Kunden, Abrechnungen genau zu prüfen. Unberechtigte Abbuchungen müssten nicht hingenommen werden.

Stand Ende September gehörten zu Hyatt 627 Hotels in 52 Ländern. Im März 2015 hatte schon die Luxushotelkette Mandarin Oriental Malware auf Rezeptionssystemen gefunden. Und erst vor einem Monat meldeten die Hilton-Hotels einen vergleichbaren Vorfall.

Im Fall von Hilton waren monatelang Betrugsfälle mit Zahlungskarten bekannt geworden, die zuvor in Hotelketten von Hilton Worldwide eingesetzt wurden. Dies erfuhr Sicherheitsexperte Brian Krebs aus Bankenkreisen. Zu den gestohlenen Informationen gehörten angeblich die Namen von Karteninhabern, die Nummern von Zahlungskarten, Sicherheitscodes und Ablaufdaten, aber keine PINs.

Welche Daten in den Hyatt-Hotels entwendet wurden, steht noch nicht fest – wenn es überhaupt je an die Öffentlichkeit dringt. Klar ist aber, dass Bezahlsystem-Malware heutzutage in der Lage ist, mit RAM-Scraping auch von Nutzern eingegebene PINs auszulesen, obwohl diese nie auf der Festplatte gespeichert werden und ihr Speicherort im RAM kaum vorhersagbar ist. Ein solches Schadprogramm war im Herbst 2013 beim US-Elektronikhändler Target und im New Yorker Luxuskaufhaus Neiman Marcus im Einsatz, um Millionen Kundenkartendaten zu stehlen. Einen ähnlichen Befall mit Malware meldete Mitte 2014 The UPS Store, also die Filialen des Paketdiensts UPS. In Europa sind bisher keine vergleichbaren Fälle bekannt.

Gestohlene Kreditkartendaten werden auf dem Schwarzmarkt gehandelt. Einfache Bankkonten- und Kreditkartendaten kosteten 2011 etwa 2 Dollar. Allerdings hat man dann keine Informationen, wie viel Geld sich auf dem jeweiligen Konto befindet. Karten mit garantierten Guthaben wurden damals ab 80 Dollar gehandelt. Konten, die bereits für Online-Einkäufe oder in Verbindung mit PayPal genutzt wurden, waren noch teuer. Daraus lässt sich ableiten, dass Kartendaten von Kunden teurer Hotels ebenfalls erhöhten Wert besitzen.

Tendenziell gilt der Wert von Kreditkartendaten allerdings als rückläufig. Höher werden inzwischen Zugänge (einschließlich Passwort) zu Social Networks und E-Mail-Postfächern gehandelt. Sie ermöglichen in vielen Fällen, durch mehrfach verwendete oder zurückgesetzte Passwörter auf eine ganze Reihe Onlinekonten einschließlich E-Commerce zuzugreifen.

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de