Online-Handel unter Bot-Beschuss

Die anhaltende globale Pandemie hat dazu geführt, dass immer mehr Verbraucher online einkaufen. Dieses Jahr wird ein Umsatzwachstum von 16,8 % auf 4,921 Billionen Dollar erwartet – eine Beschleunigung von vier bis sechs Jahren laut Adobe. Der Online-Handel, der bereits vor dem Wachstum stark von Cyber-Kriminalität bedroht war, ist nun einem noch größeren Risiko ausgesetzt, wie der kürzlich erschienene IOCTA-Bericht von Europol bestätigt.

Website-Ausfälle und Online-Betrug stellen den Online-Einzelhändler vor Herausforderungen

Einen Anstieg der Cyberkriminalität im Online-Handel zeigt auch der vor kurzem veröffentlichte „State of Security within eCommerce 2021“-Report von Imperva. Einzelhändler müssen sich auf eine rekordverdächtige Shopping-Saison einstellen, denn sowohl der Datenverkehr als auch die Anzahl an Cyber-Bedrohungen werden zunehmen. Für den Einzelhandel bedeuten Cybersecurity-Vorfälle Umsatzeinbußen und unzufriedene Kunden, egal ob es sich dabei um Website-Ausfälle oder Online-Betrug handelt. Auch die globalen Lieferketten sind von der Entwicklung betroffen. Leere Regale im Laden oder aufgekaufte Warenbestände könnten die Folge sein. Möglicherweise werden einzelne Händler dazu gezwungen sein, ganz aus dem Geschäft auszusteigen.

Die Bedrohungslage spitzt sich zur Hauptsaison weiter zu

Webseiten vom Einzelhandel sind deshalb bevorzugte Ziele von Cyber-Kriminellen, da sie persönliche Informationen zu Kreditkarten, Geschenkkartenguthaben, Treuepunkte und dergleichen der Verbraucher speichern. Laut dem Imperva Report ist der Online-Handel mit nachfolgenden Hauptbedrohungen konfrontiert, deren illegalen Einsatz es Hackern erlaubt sich Zugriff zu verschaffen:

• Bad Bots

Bots sind für feindliche Kontoübernahmen, Kreditkartenbetrug, Beschaffung von Preisen und Inhalten durch Wettbewerber und Dritte (Price Scraping) verantwortlich. Im Vergleich zum letzten Jahr sind Bot-Angriffe pro Monat im Jahr 2021 um 13 % gestiegen. Dabei waren mehr als die Hälfte (57 %) der Bot-Angriffe auf Webseiten von Online-Einzelhändlern zurückzuführen – andere Branchen waren nur zu 33 % betroffen.

• Account Takeover (ATO)

Ein Drittel (32,8 %) aller Anmeldeversuche auf eCommerce-Websites sind Kontoübernahme (Account Takeover). Einfach ausgedrückt, ist die Übernahme eines Kontos Identitätsdiebstahl und damit die vielleicht schädlichste aller Bot-Angriffe. Verglichen mit dem Durchschnitts-Volumen von anderen Branchen (25,5 %) ist das Volumen an ATOs in der Einzelhandelsbranche deutlich höher.

• Scalping

Scalping ist bestimmt kein neues Phänomen. Price- und Product- Scalping wird schon seit Jahren eingesetzt, um sich einen Wettbewerbsvorteil bei limitierten Auflagen zu sichern. Die schlechte Nachricht für Einzelhändler und Verbraucher: Die künstliche Verknappung wird voraussichtlich bis weit ins Jahr 2022 andauern. Das bedeutet, dass der Kauf einer neuen Spielekonsole oder eines Grafikprozessors in dieser Weihnachtssaison wieder einmal eine fast unmögliche Aufgabe sein wird.

• Distributed Denial of Service (DDoS)

Bereits zu Beginn der Weihnachtseinkaufssaison stellte das Imperva Forschungsteam eine steigende Zahl an DDoS-Angriffen fest, von denen die meisten Vorfälle auf der Anwendungsebene (Layer 7) stattfinden. Layer-7-Angriffe sind äußerst effektiv, da sie sowohl Netzwerk- als auch Serverressourcen beanspruchen. Im Laufe des Jahres verzeichnete der Einzelhandel mit 14 DDoS-Vorfällen im Durchschnitt die dritthöchste Anzahl auf der Anwendungsebene pro Monat.Insbesondere die Vorfälle im September haben deutlich zugenommen. Vergleicht man den August 2021 mit den DDoS-Angriffen im September, so ist ein Anstieg der Angriffe um 200 % festzustellen.

• Webanwendungen

Die Imperva Web Application Firewall (WAF) analysierte den Datenverkehr von mehr als 30 Millionen Webanwendungsangriffen und Billionen von HTTP-Anfragen. Einzelhandels-Websites waren 2021 von Datenlecks stärker betroffen (31,3 Prozent) als alle anderen Branchen zusammengenommen (26,9 Prozent). Der Trend bei den Webanwendungsangriffen unterscheidet sich deutlich zu dem der Vorjahre. Die Angriffe auf eCommerce-Websites zum Jahresende sind ungewöhnlich hoch und gehen sogar über die Trendlinie hinaus. Ursache könnten begehrte Weihnachtsgeschenke sein, die bereits im Oktober online gekauft werden.

„Die Weihnachtseinkaufssaison 2021 entwickelt sich zu einem Alptraum für Einzelhändler und Verbraucher“, so Peter Klimek, Director of Technology, Office of the CTO, bei Imperva. „Angesichts der sich verschlechternden Bedingungen in der globalen Lieferkette werden Einzelhändler nicht nur damit zu kämpfen haben, ihre Produkte im vierten Quartal zu verkaufen, sondern sie werden auch vermehrt Angriffen von motivierten Cyber-Kriminellen ausgesetzt sein, die von dem Chaos profitieren wollen. Die Daten des Imperva Forschungszentrums unterstreichen die Notwendigkeit für Einzelhändler, in Cybersecurity zu investieren, die sich vom Edge über Anwendungen und APIs bis hin zu den Daten erstreckt. Nur durch den Schutz aller Zugriffswege zu den Daten können Einzelhändler ihre kritischen Systeme und die Verbraucher, die sich auf sie verlassen, wirklich schützen.“

Sechs Tipps für mehr Cybersecurity im Einzelhandel

Einzelhändler müssen sich der Cybersecurity-Risiken, die mit dem Online-Einkauf einhergehen bewusstwerden, wachsam bleiben und den Hackern einen Schritt voraus sein. Die nachfolgenden Empfehlungen helfen, die Sicherheit für den Einzelhändler und den Kunden zu gewährleisten.

1. Adventszeit – hoher Datenverkehr und DDoS-Angriffe:

Angreifer nutzen die Vorweihnachtszeit, um DDoS-Angriffe auf Online-Händler zu starten, was zu rekordverdächtige Datenvolumen führt. Regelmäßig durchgeführte Stresstests stellen sicher, dass Händler vor DDoS-Angriffen auf alle Web-Ressourcen geschützt sind – auch bei hohen Datenaufkommen

2. Marketingkampagnen ziehen nicht nur Kunden an, sondern auch Bots:

Letztes Jahr wurde nahezu der gesamte Warenbestand an Spielekonsolen und Grafikprozessoren aufgekauft. Schuld waren Bots. Die Wut und Enttäuschung der Verbraucher richteten sich auch an den Einzelhandel. Abhilfe können Bot-Management-Lösungen schaffen, die es nur legitimen Kunden erlaubt die Website zu besuchen.

3. Sicherheit der Passwörter erhöhen:

Ein sicherer Online-Handel setzt sichere Benutzerkonten voraus. Passwörter sollten daher eine Mindestanzahl von Zeichen, Großbuchstaben, Zahlen, Symbole usw. enthalten. Die Multi-Faktor-Authentifizierung (MFA) erschwert zusätzlich den unbefugten Zugang zum Konto. Nach einem Verstoß muss der Benutzer darauf hingewiesen und zum Ändern des Passwortes aufgefordert werden.

4. Bestehende und neu hinzugefügte Website-Funktionen gegen Bad Bots schützen:

Einige Website-Funktionen sind sehr anfällig für Bad Bots. Die Anmeldefunktionalität kann zu Credential Stuffing und Credential Cracking Angriffen führen. Checkout-Formulare erhöhen das Risiko von Kreditkartenbetrug.Die Website-Funktion für Geschenkarten kann für betrügerische Zwecke missbraucht werden. Websites mit den oben aufgeführten Funktionen sollten deshalb unbedingt zusätzlich durch eine Bot-Abwehrlösung geschützt werden.

5. Bestandsaufnahme aller client- und serverseitigen JavaScript-basierten Dienste:

Hacker nutzen Websites mit vielen Transaktionen, insbesondere in Zeiten mit hohem Besucheraufkommen, um sensible Informationen aus Website-Formularen, wie Anmeldung und Kaufabwicklung, herauszufiltern. Spezielle Software-Lösungen helfen die kompromittierten JavaScripte zu identifizieren und die Risiken jedes JavaScript-basierten Dienstes zu identifizieren und zu bewerten, sowie die Ausführung nicht autorisierter Dienste blockieren kann.

6. Hackern immer einen Schritt voraus sein:

Für Hacker ist die Adventszeit die perfekte Zeit zum Phishing. Die Angreifer geben sich als ein vertrauenswürdiges Unternehmen aus und verschicken in dessen Namen gefälschte E-Mails, die bösartige Gutschein-Links oder Geschenkkarten anbieten. Um dem entgegenzuwirken, müssen Einzelhändler ihre Kunden über verdächtige Phishing-Kampagnen aufmerksam machen. Zusätzlich müssen mögliche Phishing-Angriffe auf Mitarbeiter überwacht werden, da sie der kürzeste Weg ins Unternehmen sind.