Treuepunkteprogramme vor Betrug schützen: 5 wichtige Tipps

Angel Grant

Viele von uns beginnen endlich damit, ihre lang ersehnten Urlaubsreisen zu planen – vielleicht die erste Gelegenheit für eine richtige Auszeit seit Beginn der Pandemie. Möglicherweise möchten Sie Ihre lange nicht genutzten Flugmeilen oder Hotelpunkte einlösen, die in Ihren Treueprogrammen ungenutzt geblieben sind. Stellen Sie sich Ihre Überraschung vor, wenn Sie feststellen, dass Cyberkriminelle Ihre Treuepunkte abgezweigt haben, indem sie Ihre Kundenkonten für betrügerische Zwecke missbraucht oder kompromittiert haben.

Treuepunkteprogramme gibt es schon seit geraumer Zeit. Sie sind ein hervorragendes Instrument, um Kunden zu gewinnen und langfristig zu binden. Derzeit beobachten wir jedoch einen Anstieg der Zahl von Kriminellen, die gezielt solche Programme angreifen, um Konten zu kompromittieren. Der Grund? Es gibt SEHR VIELE ungenutzte Treuepunkte: Laut der Loyalty Security Association gelten allein in den USA 45 % der Konten als inaktiv. Das bedeutet, dass sich auf den Mitgliedskonten nicht eingelöste Punkte im Wert von rund 48 Billionen US-Dollar befinden, die größtenteils nicht überwacht werden und möglicherweise in Vergessenheit geraten sind. Für Cyberkriminelle ist das äußerst verlockend, denn diese vernachlässigten Punkte lassen sich leicht erbeuten und zum eigenen Vorteil zu Geld machen.

Warum Kriminelle Treueprogramme ins Visier nehmen

Für Cyberkriminelle sind Konten mit Treuepunkten ein leichtes Ziel. Obwohl sich auf diesen Konten Werte von mehreren Tausend Dollar befinden können, überwachen die meisten Verbraucher sie nicht so genau wie ihre Konten bei Banken oder anderen Finanzinstituten. Viele Konten sind lediglich durch eine Kombination aus Benutzername und Passwort geschützt. Da viele Verbraucher Passwörter mehrfach verwenden, können Kriminelle mit gestohlenen Zugangsdaten relativ einfach automatisierte Bot-Angriffe durchführen, um sich mittels Credential Stuffing Zugang zu Treuekonten zu verschaffen. Sobald sie die Kontrolle über die Punkte haben, können sie diese auszahlen lassen, gegen schwer nachverfolgbare Artikel wie Geschenkkarten eintauschen oder im Darknet gegen Geld verkaufen – und das bei geringem Risiko für die Betrüger. Darüber hinaus wissen Kriminelle, dass die Kompromittierung von Treuekonten nicht nur kurzfristige finanzielle Gewinne ermöglicht, sondern ihnen auch Zugang zu Daten und Informationen für weitere betrügerische Aktivitäten verschafft. Dazu zählen etwa Identitätsdiebstahl mithilfe personenbezogener Daten sowie die Auswertung von Reise- und Aufenthaltsdaten, Einkaufsgewohnheiten und weiteren Informationen.

Tatsächlich sollten Sie sich nicht nur vor Cyberkriminellen in Acht nehmen. Auf diese drei Arten von Betrug mit Treueprogrammen sollten Sie besonders achten:

• Die doppelte Einlösung: Hierbei betrügen reguläre Mitglieder das Programm, indem sie Punkte „doppelt einlösen“, also gleichzeitig telefonisch und online. Mitglieder können ihre Treuekontonummer auch einem Einkauf zuordnen, den sie gar nicht getätigt haben, und sich die Punkte so in betrügerischer Absicht gutschreiben lassen. Sie können außerdem Einkäufe tätigen, um große Mengen an Prämienpunkten zu sammeln, und die Transaktion anschließend stornieren – allerdings erst, nachdem sie die Punkte gegen Geldprämien eingelöst haben. Darüber hinaus können reguläre Kunden und Mitglieder von Treueprogrammen Richtlinien oder Geschäftslogiken missbrauchen, indem sie Schlupflöcher in den Programmen ausnutzen. Beispiele hierfür sind das Weitergeben von Gutscheinen oder Aktionscodes, Verstöße gegen Händlerrichtlinien oder die Beantragung zahlreicher Kreditkarten, die mit demselben Prämienprogramm verknüpft sind, um sich unrechtmäßig Prämien zu verschaffen.
• Der Insider-Betrug: Hierbei sind interne Personen oder Mitarbeitende Ihres Unternehmens an dem Betrug beteiligt. Sie können das Treueprogramm manipulieren, indem sie beispielsweise ungenutzte oder nicht beanspruchte Punkte einem anderen Mitgliedskonto zuweisen oder Punkte in betrügerischer Absicht zwischen Konten übertragen.
• Der Cyberkriminelle: Die mit Abstand häufigste Ursache für Betrug bei Treueprogrammen ist Cyberkriminalität. Die gängigste Angriffsmethode ist dabei die Kontoübernahme (Account Takeover, ATO) mithilfe automatisierter Verfahren wie Credential Stuffing, Formjacking oder einfachem Phishing, um Zugriff auf gesammelte Punkte und gespeicherte Kreditkartendaten zu erhalten. Beim Credential Stuffing testen Angreifer eine große Anzahl kompromittierter Zugangsdaten (etwa Benutzernamen und Passwörter, die bei einem Datenleck auf einer anderen Website erbeutet wurden) auf der Anmeldeseite einer weiteren Website. Da viele Menschen dieselben Passwörter für mehrere Konten verwenden, können diese Methoden äußerst erfolgreich sein, um sich Zugang zu Treuekonten zu verschaffen. Anschließend können die Angreifer das Konto übernehmen, indem sie Benutzernamen und Passwörter ändern. Formjacking eröffnet Hackern weitere Möglichkeiten zur Kontoübernahme. Dabei manipulieren sie Webformulare von Treueprogrammen, um die von Kunden eingegebenen personenbezogenen Daten abzugreifen und zu übertragen. So erhalten die Angreifer praktisch die Schlüssel zum Konto und können in aller Ruhe die Punkte plündern oder das Konto für andere kriminelle Zwecke missbrauchen.

Treuepunkteprogramme absichern und schützen

Der Schutz Ihrer Kunden und Ihres Treueprogramms vor betrügerischen Aktivitäten ist von entscheidender Bedeutung, da diese das Vertrauen der Verbraucher und den Ruf Ihrer Marke erheblich schädigen können, wenn nicht angemessen dagegen vorgegangen wird.

Herkömmliche Cyberabwehrmaßnahmen sind jedoch nicht mehr leistungsfähig genug, um ausgeklügelte Angriffe auf Treueprogramme abzuwehren. Veraltete Schutzmaßnahmen und unnötig restriktive Richtlinien wie kurze Sitzungs-Timeouts, Geoblocking, Multi-Faktor-Authentifizierung und die Verpflichtung der Mitglieder, CAPTCHAs zu lösen, können Nutzer frustrieren und lassen sich leicht umgehen.

Für nur wenige Dollar können Angreifer kostengünstige CAPTCHA-Lösungsdienste einsetzen, um grundlegende Bot-Abwehrmaßnahmen zu umgehen, und hochwertigere Listen mit Zugangsdaten für bestimmte geografische Ziele erwerben. Kriminelle Organisationen können ihre Taktiken und Vorgehensweisen schnell ändern, wenn Verteidiger versuchen, ihre Aktivitäten zu unterbinden. Ohne spezialisierte Tools und dedizierte Sicherheitsteams wird es dadurch zu einer nahezu unlösbaren Aufgabe, den Angreifern stets einen Schritt voraus zu sein.​

5 Best Practices zum Schutz Ihres Treueprogramms vor Betrug

Treueprogramme belohnen die wertvollsten Kunden Ihres Unternehmens und helfen Ihnen, die Kundenbindung zu stärken. Angesichts der zunehmenden Angriffe ist es wichtiger denn je, diese Programme und die darin verwalteten Kundenprämien zu schützen. Die folgenden fünf Best Practices helfen Ihnen, sich auf die häufigsten Angriffsszenarien zu konzentrieren, ohne legitimen Mitgliedern die Überprüfung oder Einlösung ihrer Punkte unnötig zu erschweren.

1. Betrug bei der Kontoeröffnung verhindern. Beim Betrug mit neu eröffneten Konten erstellen Betrüger – häufig in großem Umfang – Treuekonten unter Verwendung gestohlener, synthetischer oder anderweitig gefälschter Identitäten. Mithilfe dieser betrügerischen Konten können Kriminelle Punkte sammeln und weiterverkaufen sowie Prämienprogramme missbrauchen. Stellen Sie sicher, dass Ihre Cybersicherheitslösung erkennen kann, wenn Angreifer versuchen, mithilfe automatisierter Tools oder ausgefeilter manueller Methoden mehrere gefälschte Konten zu erstellen.
2. Wehren Sie Versuche zur Kontoübernahme ab. Stellen Sie sicher, dass Ihre Schutzmaßnahmen Versuche von Kriminellen erkennen können, Konten zu übernehmen, um Punkte zu stehlen oder gespeicherte personenbezogene Kundendaten auszunutzen. Ihre Schutzmaßnahmen müssen sich an veränderte Angriffsmuster anpassen und in Echtzeit neu ausrichten können. Überwachen Sie den Datenverkehr des Treueprogramms und analysieren Sie mithilfe von Telemetriesignalen Eingabemuster, um auffälliges Verhalten zu erkennen. So können Sie feststellen, ob der Datenverkehr von bösartigen Bots oder von Menschen stammt.
3. Schützen Sie Transaktionen zur Auszahlung von Prämien. Stellen Sie sicher, dass das Einlösen von Treueprämien und Zahlungen mit den mit dem Konto verknüpften Kreditkarten rechtmäßig sind, indem Sie die Vertrauenswürdigkeit jeder Transaktion und die Identität des zugehörigen Kunden zuverlässig überprüfen. Schützen Sie Ihr Programm mit Tools, die künstliche Intelligenz und maschinelles Lernen zur Überwachung des Transaktionsverhaltens einsetzen, und nutzen Sie eine adaptive Authentifizierung, die abhängig vom Risiko des Anmeldeversuchs das geeignete Authentifizierungsverfahren auswählt. Beispielsweise können bei risikoreichen Aktivitäten wie dem Ändern von Passwörtern oder der Auszahlung großer Punktemengen zusätzliche Sicherheitsabfragen erforderlich sein. ​
4. Überwachen Sie Richtlinienverstöße. Stellen Sie sicher, dass Präventionsmaßnahmen vorhanden sind, um finanzielle Verluste durch die missbräuchliche Nutzung oder Manipulation von Gutscheinen und Werbeaktionen, Rabatten oder Empfehlungsprämien zu begrenzen, indem Sie bei jedem Interaktionspunkt die Vertrauenswürdigkeit bewerten.
5. Interne Bedrohungen verstehen. Auch Treueprogramme sind durch Insider gefährdet. Erfassen und analysieren Sie daher die Aktivitäten der Website-Mitarbeiter, um Auffälligkeiten zu erkennen, und beschränken Sie den Zugriff der Mitarbeiter auf die Daten des Treueprogramms.

Helfen Sie Ihren Kunden, Betrug mit Treuepunkten zu vermeiden

Schützen Sie nicht nur Ihr Treueprogramm und dessen Guthaben, sondern helfen Sie auch Ihren Programmmitgliedern, ihre Punkte und Prämien vor Betrug zu schützen, indem Sie die folgenden Tipps mit ihnen teilen:

• Mitglieder sollten ihre Treueprogramme genauso im Blick behalten wie andere Finanzkonten. Treueprogramme können einen Wert von mehreren Tausend Dollar haben. Daher sollten Ihre Kunden ihre Konten regelmäßig überprüfen, um sicherzustellen, dass sie nicht manipuliert wurden.
• Nutzen Sie erweiterte Sicherheitsoptionen. Ermutigen Sie Mitglieder, sofern verfügbar, zusätzliche Sicherheitsfunktionen wie die Multi-Faktor-Authentifizierung zu nutzen. Jede zusätzliche Sicherheitsebene erschwert es Betrügern, ein Konto zu kompromittieren.
• Vorsicht bei E-Mails und Social-Media-Beiträgen mit Reiseangeboten. Informieren Sie Ihre Kunden darüber, wie und über welche Kanäle Sie Angebote kommunizieren. Stellen Sie sicher, dass ihnen bewusst ist, dass Reiseangebote, die zu gut klingen, um wahr zu sein, wahrscheinlich nicht echt sind. Unaufgeforderte Angebote per E-Mail und Werbeaktionen, die in ihrem Feed erscheinen, sind vermutlich Phishing-Versuche, mit denen persönliche Daten wie Anmeldedaten und Kreditkartennummern gestohlen werden sollen. Bevor Mitglieder antworten und Informationen preisgeben, sollten sie überprüfen, ob die E-Mail-Adresse des Absenders legitim ist, oder sich direkt an das Treueprogramm wenden (nicht über die erhaltene E-Mail oder den Social-Media-Beitrag), um sicherzustellen, dass das Angebot oder die Anfrage echt ist.

F5 ist stolz darauf, Unternehmen bei der Abwehr von Betrug mit Treueprogrammen zu unterstützen

Erfahren Sie, wie F5 weiterhin zahlreiche Unternehmen vor automatisierten Angriffen und betrügerischen Aktivitäten schützt, die Marken schaden können, indem Mitgliederkonten ins Visier genommen werden, um wertvolle Prämienpunkte und Meilen zu erbeuten. Lesen Sie diese Kundenreferenz und erfahren Sie, wie Distributed Cloud Bot Defense einer großen internationalen Fluggesellschaft dabei half, automatisierte Angriffe auf ihre Website zu stoppen, durch die Vielfliegerkonten kompromittiert worden waren.

Erfahren Sie unter folgendem Link, wie wir Sie dabei unterstützen können, dass Treuepunkte, Geschenkkartenguthaben und andere gespeicherte Werte in den Händen Ihrer Kunden bleiben – und nicht in denen von Kriminellen: https://www.f5.com/solutions/ecommerce

Über den Autor

Angel Grant

Weitere Blogbeiträge von Angel Grant