Fünf Tipps zur Betrugsbekämpfung im Jahr 2023

F5-Ökosystem | 15. Februar 2023

In einer zunehmend digitalen Welt verändern und entwickeln sich die Betrugstrends ständig weiter. Dabei nehmen die Bedrohungen für Verbraucher, E-Commerce-Anbieter und Finanzdienstleister nicht nur zahlenmäßig, sondern auch hinsichtlich ihrer Raffinesse zu. Die weltweiten Gesamtkosten durch E-Commerce-Betrug werden 2023 voraussichtlich 48 Milliarden US-Dollar übersteigen, gegenüber etwas mehr als 41 Milliarden US-Dollar im Jahr 2022. Die Gründe für diesen Anstieg der Betrugskosten sind vielfältig: Dazu zählen die pandemiebedingte Zunahme von Online-Zahlungen und -Einkäufen, die allgegenwärtige Verbreitung von Schadsoftware und Bots, die Nutzerdaten aus dem Internet abgreifen, sowie Social-Engineering-Betrugsmaschen, die menschliche Schwächen ausnutzen.

In der vordigitalen Welt erforderte Betrug eine sorgfältige Planung und ein unauffälliges Vorgehen. Heute hingegen sind die Werkzeuge, die für den Betrug an Privatpersonen und Unternehmen benötigt werden, im Internet leicht verfügbar, wodurch die Einstiegshürde sinkt. Durch virtuelle Marktplätze, digitale Geldbörsen und die fortschreitende Automatisierung sämtlicher Bereiche verfügen Kriminelle nicht nur über eine immer größere Angriffsfläche, sondern auch über ausgefeilte Werkzeuge und Technologien, mit denen sie in Unternehmen eindringen und die Konten von Privatpersonen angreifen können.

Lesen Sie unsere fünf Tipps zur Betrugsbekämpfung im Jahr 2023 und bleiben Sie den neuesten Bedrohungen und Angriffsmethoden einen Schritt voraus, mit denen Cyberkriminelle in diesem Jahr E-Commerce- und Finanzdienstleistungsunternehmen ins Visier nehmen werden.

Mehrere Sicherheitsstrategien aufeinander abstimmen und zusammenführen, um Betrug effektiver zu bekämpfen, ohne das Kundenerlebnis zu beeinträchtigen.

Händler und Finanzdienstleister müssen eine bessere Zusammenarbeit erreichen – und zwar zwischen ihren Teams für Sicherheit, Customer Identity and Access Management (CIAM), Betrugserkennung und Authentifizierung im gesamten Unternehmen. Kriminelle können Schwachstellen leicht ausnutzen, die durch isoliert arbeitende Teams und Sicherheitsstrategien entstanden sind, die zu stark auf CAPTCHA und Multi-Faktor-Authentifizierung (MFA) setzten. Diese Mechanismen unterbrechen fortwährend das Nutzererlebnis, häufig ohne das mit dem Anmeldeversuch verbundene Risiko zu berücksichtigen.

Ein transparenter und kontinuierlicher Ansatz für eine risikobasierte Authentifizierung ermöglicht Händlern und Finanzdienstleistern eine bessere Zusammenarbeit zwischen mehreren Teams innerhalb ihres Unternehmens sowie die Umsetzung einer agilen, zuverlässigen und störungsarmen Strategie zur Betrugserkennung, ohne das Nutzererlebnis zu beeinträchtigen.
Erweitern Sie herkömmliche Omnichannel-Strategien zur Betrugsprävention um eine ganzheitliche Transparenz und umfassende Einblicke entlang der gesamten Customer Journey.

Diese Strategie sollte sich auf drei häufig übersehene Schlüsselbereiche konzentrieren:
- Beginnen Sie mit der ersten Interaktion über den jeweiligen Kanal: Konzentrieren Sie sich auf die Aktivitäten der Kunden ab dem Moment, in dem sie einen Kanal aufrufen oder ein Konto erstellen. Dies sollte die Transparenz hinsichtlich clientseitiger Angriffe verbessern wie digitales Skimming oder Formjacking, die häufig dazu dienen, bei der Eröffnung neuer Konten Anmeldedaten und Karteninformationen abzugreifen, was letztlich zu Kontoübernahmen und Betrug führt.
- API-Integrationen von Drittanbietern prüfen: Neben Web- und mobilen Apps müssen Händler und Finanzdienstleister auch sicherstellen, dass der Schutz von APIs Bestandteil ihrer Sicherheitsstrategien ist. APIs sind denselben Angriffen ausgesetzt wie Web-Apps, insbesondere Exploits und Missbrauch, die zu Datenschutzverletzungen und Betrug führen und unbeabsichtigte Risiken durch Integrationen und Ökosysteme von Drittanbietern mit sich bringen.
- Betrugspotenzial bei Transaktionen ohne physische Kartenvorlage (Card Not Present, CNP) prüfen: Händler, die neue Services wie kontaktloses Bezahlen im Nahbereich, Onlinekauf mit Abholung im Geschäft (BOPIS) und „Jetzt kaufen, später bezahlen“ (BNPL) anbieten, müssen die mit diesen Transaktionen verbundenen Risiken verstehen und in ihren Strategien zur Betrugsprävention berücksichtigen. Dazu gehört, Erkenntnisse über betrügerische Verhaltensmuster zu gewinnen und kanalübergreifend auszutauschen.
Seien Sie wachsam gegenüber neuen Herausforderungen durch Friendly Fraud in einem rezessiven Umfeld.

Eine bedeutende neue Form von Friendly Fraud, mit deren Zunahme Händler während einer Rezession rechnen sollten, ist „Fake Friendly Fraud“. Dabei erstellen Kriminelle synthetische Identitäten, um wie echte Kunden zu erscheinen, und tätigen anschließend Transaktionen, ohne die Absicht, die gekauften Waren zu bezahlen. Die Täter können Präventionsmaßnahmen erfolgreich austricksen und umgehen, da sie gestohlene Identitätsdaten problemlos wiederverwenden und neue synthetische Identitäten erstellen können, um neue Konten zu eröffnen und einer Sperrung durch eine Negativliste zu entgehen. Zu diesen Friendly-Fraud-Aktivitäten können der Missbrauch von BNPL-Programmen, Betrugsmaschen mit Treuepunkten und Rückerstattungen sowie Bust-out-Betrug gehören.

Schützen Sie sich vor der Eröffnung neuer Konten mit synthetischen Identitäten, indem Sie Erkenntnisse aus verhaltensbiometrischen Mustern nutzen, die durch maschinelles Lernen ergänzt werden. So erhalten sowohl Sicherheits- als auch Betrugspräventionsteams Einblicke in kompromittierte Konten.
Bereiten Sie sich auf die EU-Zahlungsdiensterichtlinie 3 (PSD3) mit neuen Vorschriften für digitale Zahlungen vor.

Die Bedrohungs-, Zahlungs- und Regulierungslandschaft für Händler und Banken hat sich seit der erstmaligen Einführung der Zahlungsdiensterichtlinie im Jahr 2018 grundlegend verändert. Zur Vorbereitung auf die erweiterten Vorschriften der PSD3 sollten Händler und Banken eine Bestandsaufnahme der neuen Dienste, Kanäle und Zahlungsoptionen vornehmen, die sie in letzter Zeit eingeführt haben. Unterstützen Sie beispielsweise inzwischen digitale Geldbörsen und Kryptozahlungen? Wie viele neue APIs mit unterschiedlichen Formaten von Drittanbietern haben Sie in Ihre Systeme und Webangebote integriert?

Händler und Finanzdienstleister müssen davon abrücken, sich bei ihrer bestehenden API- und Authentifizierungsstrategie ausschließlich auf Compliance-Risiken zu konzentrieren. Sie sollten proaktiv das gesamte Spektrum der Sicherheits- und Betrugsrisiken antizipieren und steuern, die mit der modernen API-Umgebung einhergehen.
Bereiten Sie sich auf Shadow-API- und JavaScript-Lieferkettenangriffe sowie auf den kommenden Payment Card Industry Data Security Standard (PCI DSS) 4.0

Wenn Unternehmen ihr Drittanbieter-Ökosystem erweitern und die Anzahl der Skripte auf ihren Websites steigt, entstehen neue potenzielle Schwachstellen, die zu clientseitigen Angriffen wie digitalem Skimming, Formjacking und Magecart-Angriffen führen können. Bei einem digitalen Skimming-Angriff schleust ein Krimineller entweder ein oder mehrere schädliche Skripte ein oder manipuliert ein vorhandenes Skript auf einer legitimen Seite oder in einer legitimen Anwendung, um einen Man-in-the-Browser-Angriff auf die Software-Lieferkette durchzuführen. Diese Angriffe sind schwer zu erkennen, da solche Skripte häufig von Drittanbietern aktualisiert werden – oftmals ohne einen Prozess, der es Ihrem Unternehmen ermöglicht, Sicherheitsprüfungen durchzuführen.

Darüber hinaus werden sich die neuen Anforderungen von PCI DSS 4.0 auf die notwendige Überwachung und Verwaltung browserbasierter JavaScript-Bibliotheken von Drittanbietern konzentrieren, die in E-Commerce-Websites eingebunden sind, um Funktionen wie iFrames für die Zahlungsabwicklung, Chatbots, Werbung, Schaltflächen zum Teilen in sozialen Netzwerken und Tracking-Skripte bereitzustellen. Obwohl die Einhaltung der neuen Anforderungen von PCI DSS 4.0 erst ab 2025 vorgeschrieben ist, treten clientseitige Angriffe bereits jetzt immer häufiger auf. Implementieren Sie die erweiterten Schutzmaßnahmen daher so bald wie möglich.

Unternehmen benötigen nicht nur Transparenz über die JavaScript-Bibliotheken, die in ihren Webanwendungen ausgeführt werden, sondern müssen auch wissen, welche Daten die Skripte erfassen, um Verstöße gegen Datenschutzvorschriften wie die DSGVO und den CCPA zu vermeiden und die neuen Anforderungen 6.4.3 und 11.6.1 von PCI DSS 4.0 einzuhalten.

Die meisten Unternehmen verfügen nicht über eine zentrale Kontrolle und Governance für die Skriptverwaltung. Wenn ein Drittanbieter-Skript auf Ihrer Website eine Schwachstelle aufweist und Sie nichts davon wissen, können Sie diese nicht beheben. Kriminelle wissen, dass viele Unternehmen Schwierigkeiten haben, die Menge, den Umfang und die Größenordnung der inzwischen in Websites eingebetteten Skripte zu verwalten, nachzuverfolgen und abzusichern. Und sie wissen, wie sie diese Skripte zu ihrem eigenen Vorteil ausnutzen können.