Was ist Account-Takeover-Betrug (ATO)?

Account Takeover (ATO), also die Übernahme von Benutzerkonten, ist die häufigste und kostspieligste Angriffsart auf Finanzinstitute, E-Commerce-Anbieter und andere digitale Onlinedienste. Mithilfe automatisierter Bots und anderer Methoden der Cyberkriminalität verschaffen sich Kriminelle mit gestohlenen Zugangsdaten Zugriff auf Benutzerkonten und übernehmen deren Kontrolle, um sich finanziell zu bereichern oder Betrug zu begehen. Die Folgen von Account-Takeover-Betrug sind real: Laut der Javelin 2022 ID Fraud Study waren 22 % der Erwachsenen in den USA bereits Opfer eines ATO-Angriffs.

So funktioniert es: Betrugsmethoden zur Kontoübernahme

Account-Takeover-Betrug ist das Ergebnis einer Reihe cyberkrimineller Aktivitäten, die in der Regel mit gestohlenen oder kompromittierten Zugangsdaten beginnen, die zu Credential-Stuffing-Angriffen führen, wodurch die Online-Konten eines Kunden übernommen werden können. Sobald der Kriminelle die Kontrolle übernommen hat, kann er das Guthaben vom Konto abziehen, gespeicherte Werte zu Geld machen und das Konto für weitere Betrugsdelikte nutzen.

Die einfachste Form des Credential Stuffings erfolgt durch botgesteuerte Brute-Force-Angriffe, bei denen zufällige Zeichenkombinationen an Anmeldeformulare übermittelt werden, bis die Angreifer eine Übereinstimmung mit den Zugangsdaten eines Kontos finden.

Wie werden Anmeldedaten gestohlen?

Fortgeschrittenere Credential-Stuffing-Angriffe beginnen mit gültigen Kombinationen aus Benutzernamen und Passwörtern, die bei Datenschutzverletzungen gestohlen oder kompromittiert wurden. Gestohlene Zugangsdaten können problemlos auf Marktplätzen im Dark Web erworben werden (laut Cyber Security Hub wurden allein im Jahr 2022 22 Milliarden Datensätze offengelegt).

Anmeldedaten können auch durch eine Reihe von Cyberangriffen und anderen Methoden der Cyberkriminalität gestohlen werden, darunter:

• Phishing-Angriffe, eine Form des Social Engineering, bei der Kriminelle E-Mails, Textnachrichten oder Nachrichten in sozialen Medien nutzen, um Menschen dazu zu verleiten, private Informationen wie Anmeldedaten, Bankverbindungsdaten, Sozialversicherungsnummern oder andere sensible Daten preiszugeben.
• Keylogging, Magecart, Skimming und andere Formen clientseitiger Malware, bei denen Angreifer Zugangsdaten stehlen, indem sie schädliche Skripte in Online-Bezahlformulare einschleusen. Während das Opfer seine Zugangsdaten und Kreditkarteninformationen eingibt, übermittelt das Skript die Daten an den Angreifer, der sie für Betrugszwecke nutzen oder an andere Kriminelle verkaufen kann.
• Man-in-the-Middle-Angriffe (MitM), bei denen Angreifer Nachrichten oder Datentransaktionen abfangen, indem sie sich als Vermittler zwischen zwei legitime Parteien schalten, die miteinander Daten austauschen. Dadurch können die Angreifer die Übertragung von Informationen und Daten beider Parteien „belauschen“ und Anmeldedaten oder andere personenbezogene Informationen abgreifen.

Sobald Cyberkriminelle einen Vorrat an gültigen Zugangsdaten gesammelt haben, können sie mit dem Credential Stuffing beginnen – häufig in enormem Umfang. Da etwa zwei Drittel der Verbraucher dieselben Benutzernamen und Passwörter für mehrere Websites verwenden, können Cyberkriminelle und ihre Armeen automatisierter Bots diese wiederverwendeten Zugangsdaten leicht ausnutzen: Ein erheblicher Teil der bei Datenschutzverletzungen erbeuteten Zugangsdaten ermöglicht auch den Zugriff auf Konten bei anderen Websites. Sobald Angreifer Konten übernommen haben, können sie die Zugangsdaten ändern, um die rechtmäßigen Kontoinhaber auszusperren, Vermögenswerte abzuschöpfen und die Konten für weitere Betrugshandlungen zu nutzen.

Auswirkungen von Betrug durch Kontoübernahme

Die weltweiten Verluste durch digitale Betrugsangriffe wie Kontoübernahmen werden zwischen 2023 und 2027 voraussichtlich 343 Milliarden US-Dollar übersteigen, wie aus Berichten in American Banker hervorgeht.

Die Übernahme von Benutzerkonten hat auch Auswirkungen, die über finanzielle Schäden hinausgehen. Die Marke und der Ruf eines Unternehmens können ebenfalls leiden, was zu Geschäftseinbußen und negativer Berichterstattung über vermeintliche Sicherheitsmängel führen kann. Langfristige Markenschäden können die Folge sein, und es kann Jahre dauern, einen guten Ruf wiederherzustellen.

Unternehmen können auch das Vertrauen und die Loyalität ihrer Kunden verlieren, was zur Beendigung von Geschäftsbeziehungen führen kann. Kunden sind verständlicherweise unzufrieden, wenn unzureichende Sicherheitsmaßnahmen eines Unternehmens zur Übernahme von Konten und zu kostspieligen betrügerischen Aktivitäten führen.

Unternehmen müssen bei unzureichendem Schutz von Verbraucherdaten unter Umständen auch mit aufsichtsrechtlichen und rechtlichen Konsequenzen rechnen. Gesetze und Standards wie die Datenschutz-Grundverordnung (DSGVO) in der EU, der California Consumer Privacy Act (CCPA) und der Payment Card Industry Data Security Standard (PCI-DSS) sollen den Schutz personenbezogener Daten von Verbrauchern gewährleisten und sehen bei Datenschutzverletzungen hohe Geldbußen vor. Dazu zählen auch ATO-Angriffe, durch die Bots Zugriff auf private Daten erhalten.

Betrug durch Kontoübernahmen erkennen

Es ist wichtig, Benutzerkonten und -aktivitäten zu überwachen, um Anzeichen einer Kontoübernahme zu erkennen.

• Achten Sie auf unerwartete Änderungen bei den Kontoaktivitäten. Dazu können neue oder nicht autorisierte Transaktionen, hohe Abhebungen, zufällige und sporadische Spitzen beim Datenverkehr oder Anfragen zur Änderung von Passwörtern, Adressen oder Zahlungsempfängern gehören. Solche ungewöhnlichen Aktivitäten können darauf hindeuten, dass das Konto angegriffen wird. Überprüfen Sie in diesen Fällen, ob sich auch Benutzerdaten wie das Passwort oder die Telefonnummer geändert haben. Dies könnte darauf hinweisen, dass das Konto übernommen wurde.
• Achten Sie auf unbekannte Anmeldeversuche. Eine Reihe fehlgeschlagener Anmeldeversuche kann darauf hindeuten, dass ein Angreifer versucht, sich mithilfe von Credential Stuffing Zugang zu einem Konto zu verschaffen. Seien Sie besonders wachsam, wenn die Anmeldeversuche von einem ungewöhnlichen Standort aus erfolgen oder zu einer Tageszeit stattfinden, zu der das Konto normalerweise inaktiv ist.
• Achten Sie auf neue oder unbekannte Geräte, die auf ein Konto zugreifen. Aktivitäten von neuen oder unbekannten Geräten können darauf hindeuten, dass ein Konto kompromittiert wurde oder dass ein Betrüger versucht, sich mit gestohlenen Zugangsdaten anzumelden. Ebenso können Anmeldungen mehrerer Geräte bei einem einzigen Konto darauf hinweisen, dass Kriminelle versuchen, das Konto zu übernehmen.
• Verdächtige E-Mails oder Textnachrichten. Eine Zunahme von Phishing-E-Mails und anderen verdächtigen E-Mails kann darauf hindeuten, dass Nutzer ins Visier von Betrügern geraten sind. Erinnern Sie Kunden daran, niemals Anhänge oder aktive Links in digitalen Nachrichten unbekannter Absender anzuklicken und niemandem telefonisch oder über das Internet Benutzernamen, Passwörter sowie persönliche Daten oder Finanzinformationen mitzuteilen. Seriöse Unternehmen fragen nicht per E-Mail oder Textnachricht nach Kontoinformationen.

Verhinderung von Betrug durch Kontoübernahme

Ein proaktiver Ansatz zur Verhinderung von Kontoübernahmen umfasst mehrere Schutzebenen und Strategien. Dazu gehören bewährte Methoden, ein Schwerpunkt auf der Sensibilisierung der Nutzer, die Echtzeitüberwachung der Infrastruktur und starke Authentifizierungsmaßnahmen.

Benutzerschulung und Sensibilisierung

Eine der wirksamsten Maßnahmen zur Verhinderung von Kontoübernahmen sind Schulungsprogramme, in denen Nutzer lernen, Risiken zu erkennen und ihnen zu widerstehen. ATO-Angriffe beginnen häufig mit Phishing, bei dem ein Angreifer versucht, Nutzer dazu zu verleiten, ihre Zugangsdaten preiszugeben oder auf schädliche Links zu klicken. Phishing-E-Mails und -Textnachrichten können sehr überzeugend wirken, insbesondere wenn sie persönliche Angaben enthalten, die Kriminelle aus sozialen Medien zusammentragen können. Stellen Sie außerdem sicher, dass die Nutzer verstehen, wie wichtig ein sicherer Umgang mit Passwörtern ist, und setzen Sie strenge Passwortrichtlinien durch.

Starke Authentifizierungsmaßnahmen

Bei einer starken Authentifizierung müssen Benutzer bei einem Anmeldeversuch zusätzlich zu Benutzername und Passwort zwei oder mehr Verifizierungsfaktoren angeben. Es gibt verschiedene Ansätze für eine starke Authentifizierung.

• Zwei-Faktor-Authentifizierung (2FA) ist eine Sicherheitsmethode für das Identitäts- und Zugriffsmanagement, bei der zwei Verifizierungsfaktoren erforderlich sind, um die Identität einer Person festzustellen und ihr Zugriff auf Ressourcen und Daten zu gewähren. In der Praxis wird dabei häufig ein Einmalcode aus einer E-Mail oder SMS auf einem bekannten Gerät eingegeben, beispielsweise auf einem Smartphone oder in einem Browser auf dem heimischen Computer.
• Multi-Faktor-Authentifizierung (MFA)ähnelt der 2FA, mit dem Unterschied, dass für eine erfolgreiche Anmeldung mindestens drei Verifizierungsfaktoren erforderlich sind. In den meisten Fällen wird dabei ein Einmalcode auf einem bekannten Gerät empfangen und zusätzlich ein biometrisches Merkmal wie ein Fingerabdruck, ein Netzhautscan oder eine Stimmerkennung verwendet. Es ist zu beachten, dass 2FA und MFA zwar weiterhin wertvolle Instrumente zur Verbesserung der Sicherheit von Online-Konten sind, sie jedoch als letzte Verteidigungslinie gegen ATO-Angriffe nicht mehr ausreichen, da sie von Kriminellen leicht umgangen werden können und die Benutzerfreundlichkeit beeinträchtigen.
• Risikobasierte Authentifizierung ist eine Methode zur Zugriffsverwaltung, bei der die Anforderungen an den Authentifizierungsprozess an das mit dem Anmeldeversuch verbundene Risiko angepasst werden. So würde beispielsweise eine Anmeldung, die lediglich der Überprüfung eines Kontostands dient, einen weniger strengen Authentifizierungsprozess erfordern als eine Anmeldung, bei der Passwörter geändert oder Geldbeträge auf ein neues Konto überwiesen werden sollen. Grundsätzlich gilt: Je höher das Risiko, desto strenger wird der Authentifizierungsprozess, sodass zusätzliche Faktoren und Kontrollen erforderlich sind.

Konten überwachen und prüfen

Sowohl Verbraucher als auch Unternehmen sollten ihre Konten regelmäßig überwachen und auf verdächtige Aktivitäten prüfen. Verbraucher sollten sich dazu regelmäßig bei ihren Finanzkonten und anderen Konten mit gespeichertem Guthaben (einschließlich Treueprogrammen und Geschenkkarten) anmelden, um Kontostände und Kontoaktivitäten im Blick zu behalten.

Unternehmen und Organisationen können verschiedene Technologien einsetzen, um die kontinuierliche Überwachung und Prüfung von Konten zu automatisieren. Dazu gehören Systeme zur Kontoüberwachung, die maschinelles Lernen und KI-gestützte Erkennung nutzen, um Betrug zu verhindern, indem sie ungewöhnliche Aktivitäten identifizieren, die nicht dem üblichen Verhalten des Nutzers entsprechen.

Web Application Firewall (WAF)

Eine WAF schützt Webanwendungen, indem sie schädlichen HTTP/S-Datenverkehr zur Webanwendung filtert, überwacht und blockiert. Zudem verhindert sie, dass Daten die Anwendung unbefugt verlassen. Dazu hält sie sich an eine Reihe von Richtlinien, anhand derer bestimmt wird, welcher Datenverkehr schädlich und welcher sicher ist. Eine WAF fungiert als Vermittler, der den Webanwendungsserver vor potenziell schädlichen Clients schützt.

Obwohl sie nicht speziell für die Erkennung von ATO-Aktivitäten konzipiert sind, können WAF-Richtlinien gezielt eingesetzt werden, um Kontoübernahmeangriffe zu erkennen und zu blockieren. WAFs können außerdem dabei helfen, schädliche Bot-Aktivitäten zu identifizieren, die Brute-Force-Angriffen mittels Credential Stuffing häufig vorausgehen.

Bot-Erkennung und -Abwehr zu Netzwerken hinzufügen

Bot-Armeen ermöglichen es Kriminellen, ihre Angriffe zu skalieren, MFA-Kontrollen zu umgehen und Betrug zu begehen. Durch Automatisierung können Bots in großer Zahl eingesetzt werden, um die ihnen zugewiesene Aufgabe auszuführen – sei es Credential Stuffing oder Phishing. Lösungen zur Bot-Erkennung schaffen Transparenz über bösartige Aktivitäten wie die Erstellung gefälschter Konten, das Horten von Warenbeständen, Scraping und das digitale Abschöpfen von Anmeldedaten. Sie können außerdem vor clientseitigen Angriffen wie Formjacking, digitalem Skimming, Magecart und anderen JavaScript-Schwachstellen im Browser warnen.

Reaktion auf Betrug durch Kontoübernahme

Angesichts der Vielzahl gestohlener und kompromittierter Zugangsdaten, die im Darknet leicht verfügbar sind, wird es immer wahrscheinlicher, dass Unternehmen früher oder später Opfer eines Cyberangriffs werden. Unternehmen müssen unbedingt im Voraus robuste Reaktionsmaßnahmen und Prozesse entwickeln, um die Auswirkungen eines Cyberangriffs sowohl auf das Unternehmen selbst als auch auf seine Kunden zu bewältigen.

Plan zur Reaktion auf Sicherheitsvorfälle

Ein Incident-Response-Plan legt die konkreten Maßnahmen, verfügbaren Ressourcen und Kommunikationsstrategien fest, die nach der Erkennung eines Bedrohungsereignisses umgesetzt werden. Er sollte die Protokolle für die Reaktion auf das Ereignis definieren und ein Incident-Response-Team benennen, das für die praktische Umsetzung des Plans geschult wurde.

Kundenbenachrichtigung und -support

Es ist von entscheidender Bedeutung, dass das Incident-Response-Team die betroffenen Kunden direkt benachrichtigt und ihnen erklärt, was passiert ist und welche Maßnahmen zu ihrem Schutz ergriffen werden. Außerdem sollte es sie dringend dazu auffordern, das kompromittierte Passwort zu ändern, falls sie es auch für andere Konten verwenden. Der Kontakt zu den betroffenen Kunden ist wichtig, um ihr Vertrauen zurückzugewinnen.

Untersuchung und Behebung

Nachdem ein Angriff erkannt wurde, ist es entscheidend, den Vorfall zu bewerten und einzudämmen sowie seine Art und sein Ausmaß und die betroffenen Systeme zu ermitteln. Sobald der Zugangspunkt identifiziert wurde, sollte das Unternehmen den unbefugten Zugriff des Angreifers auf betroffene Konten unterbinden und kompromittierte Konten bereinigen, damit sie nicht länger für böswillige Zwecke genutzt werden können. Analysieren Sie im Rahmen der Überprüfung der Wiederherstellung nach einem Betrugsfall, wie sich ein solcher Angriff künftig verhindern lässt.

Kommunikation und Transparenz

Es ist wichtig, transparent über Sicherheitsverletzungen und Angriffe zu kommunizieren, da das Zurückhalten von Informationen von Aufsichtsbehörden, Medien oder Verbrauchern als Verschleierung wahrgenommen werden und die finanziellen Folgen des Angriffs erheblich verschärfen kann.

Zusammenfassung

Heutzutage ist jedes Unternehmen, das digitale Zahlungen ausgibt oder akzeptiert, ein Ziel für Kontoübernahmen (ATO), und die Bedrohung durch Angriffe nimmt weiter zu. Dadurch geraten Onlinehändler, Finanzinstitute und Dienstleistungsunternehmen in ein Dilemma: Indem sie dem Wunsch ihrer Kunden nach bequemeren Onlinediensten und Apps nachkommen, setzen sie sich zugleich einem erhöhten Risiko für Betrug und andere Formen der Cyberkriminalität aus. Sobald ein Konto kompromittiert wurde, kann ein Betrüger Guthaben abziehen, Waren oder Dienstleistungen stehlen oder auf Zahlungsinformationen zugreifen, um sie auf anderen Websites zu verwenden – was Kunden verprellt und die Umsätze schmälert.

Herkömmliche 2FA- und MFA-Kontrollen reichen nicht mehr aus, um Cyberkriminelle zu stoppen, die immer raffiniertere ATO-Angriffe durchführen. Um ATO zu verhindern, ist ein ganzheitlicher Ansatz für Sicherheit und Betrugsprävention erforderlich, der Absichten bewertet, digitale Erlebnisse optimiert und ATO unterbindet, indem Betrugsmuster und riskante Transaktionen erkannt werden, bevor sie stattfinden.

Wie F5 helfen kann

Die Sicherheits- und Betrugspräventionslösungen von F5 bieten den branchenweit umfassendsten Schutz vor Kontoübernahmen auf einer einzigen Plattform. Mithilfe hochentwickelter Technologien wie der Modellierung von Bedrohungsinformationen und maschinellem Lernen zur Erkennung von Angriffstechniken setzt Distributed Cloud Bot Defense in Echtzeit geeignete Gegenmaßnahmen ein, um botgesteuerten Betrug und Kontoübernahmen mit maximaler Wirksamkeit abzuwehren. Distributed Cloud Authentication Intelligence erkennt legitime Benutzer während der gesamten Customer Journey, und Distributed Cloud Client-Side Defense bietet Echtzeiteinblicke in clientseitige digitale Skimming-Angriffe.

In Verbindung mit der schnellen Abwehr von Betrug nach der Anmeldung durch Distributed Cloud Account Protection bietet die Sicherheits- und Betrugspräventionsplattform F5 Distributed Cloud einen ganzheitlichen Ansatz, der Absichten bewertet, digitale Erlebnisse optimiert und Kontoübernahmeversuche (ATO) verhindert, die andernfalls zu Betrug, Umsatzeinbußen und einer geringeren Kundenbindung führen würden.