Web-Skimming-Attacken auf Intersport und Claire‘s

Zwei Unternehmen, die in Deutschland zahlreiche Filialen haben, sind Opfer von Cyberattacken geworden. Zur deutschen Intersport-Gruppe gehören 939 Händler mit 1.500 Filialen. Claire´s ist in Deutschland mit 104 Filialen in 65 Städten vertreten. Die ebenfalls angegriffene Schwesterfirma von Claire´s, Icing, ist in Deutschland nicht aktiv.

Laut Berichten der Sicherheitsfirmen Sanguine Security und ESET drangen Hacker auf die Websites der beiden Unternehmen ein und versteckten bösartigen Code, der die in die Kassenformulare eingegebenen Zahlungskartendaten aufzeichnete. Sie nutzen das so genannte Web Scimming, auch bekannt als Magecart-Angriff.

Laut Willem de Groot von Sanguine Security wurde die Website von Claire’s zwischen dem 25. April und 13. Juni kompromittiert, ebenso die Schwesterseite Icing. „Der injizierte Code würde alle Kundeninformationen abfangen, die während des Bestellvorgangs eingegeben werden, und sie an den Server claires-assets.com senden“, schrieb de Groot heute in einem Bericht, der ZDNet zur Verfügung gestellt wurde. Claires-assets.com war eine Domain, die Hacker vier Wochen zuvor für den speziellen Zweck der Durchführung dieses Angriffs registriert hatten. De Groot sagte, er habe sich zum Zeitpunkt des Angriffs mit dem Management von Claire‘s in Verbindung gesetzt, und das Unternehmen habe den bösartigen Code von ihrer Website entfernt.

Claire’s- und Icing-Benutzern, die während der oben genannten Zeitspanne online eingekauft haben, wird empfohlen, ihre Kartenabrechnungen auf nicht autorisierte Transaktionen hin zu überprüfen und ihre Karten zu sperren und mit ihren Banken zusammenzuarbeiten, wenn sie etwas Verdächtiges entdecken.

„Wir arbeiten daran, die Transaktionen zu ermitteln, die involviert waren, damit wir diese Personen benachrichtigen können“, sagte ein Sprecher von Claire‘s gegenüber ZDNet USA. „Die in unseren Einzelhandelsgeschäften verwendeten Karten waren von diesem Problem nicht betroffen. Wir haben auch die Zahlungskartennetze und die Strafverfolgungsbehörden informiert. Die Regeln des Zahlungskartennetzes sehen im Allgemeinen vor, dass Karteninhaber nicht für unberechtigte Gebühren verantwortlich sind, die rechtzeitig gemeldet werden. Wir bedauern diesen Vorfall und entschuldigen uns bei unseren Kunden für die verursachten Unannehmlichkeiten.“

Einen ähnlichen Vorfall meldete der Antiviren-Hersteller ESET  auf die Website von Intersport. Der Skimmer wurde nicht auf allen Versionen der Intersport-Website geladen, sondern nur auf den lokalen Versionen, die Kunden in Kroatien, Serbien, Slowenien, Montenegro und Bosnien und Herzegowina bedienen. Intersport Deutschland ist damit nicht direkt involviert, denn die Intersport eG kontrolliert die angeschlossenen Länder Deutschland, Österreich, Polen, Slowakei, Tschechien und Ungarn.

Laut de Groot wurden die Läden von Intersport  am 30. April gehackt, am 3. Mai gesäubert und dann am 14. Mai erneut gehackt. ESET sagte, dass das Unternehmen den bösartigen Code innerhalb weniger Stunden nach der Benachrichtigung über den letzten Hack entfernt habe.

Kunden, die Einkäufe auf den betroffenen Intersport-Websites getätigt haben, sollten sich mit ihrem Kartenunternehmen in Verbindung setzen und die Abrechnungen auf betrügerische Einkäufe überwachen.

Tobias Günther, Junior Strategist Media & Strategy | Unternehmensstrategie INTERSPORT Deutschland eG, kommentiert: „Die IDEA, also Deutschland und Österreich, war nicht betroffen. Es bestand also für die IDEA-Kunden nach wie vor keinerlei Gefahr.“

In beiden Fällen wird davon ausgegangen, dass die Zahl der betroffenen Anwender größer als üblich ist. Sowohl der Vorfall mit Claire‘s als auch der mit Intersport ereigneten sich während der Coronavirus-Pandemie (COVID-19), als die meisten physischen Geschäfte geschlossen waren und die Unternehmen die Benutzer zum Kauf von Produkten auf ihre Online-Sites umleiteten.