Hacker knacken Daten von Visa-Kunden in Sekunden

IT-Sicherheitsexperten der Newcastle University haben es geschafft in Sekundenschnelle an Kreditkartendaten von Visa-Kunden zu gelangen. Dabei haben sie eine schwerwiegende Sicherheitslücke aufgedeckt: Die Bankdaten ließen sich ganz einfach "erraten".

Distributed Guessing Attack

So beschrieben die Sicherheitsexperten, dass sie mit der sogenannten "Distributed Guessing Attack", einem verteilten Rate-Angriff, Daten von Visa-Kunden korrekt erraten konnten. Diese basiert auf einem einfachen Prinzip: Der Hacker probiert auf vielen Website mit Bezahlfunktion gleichzeitig verschiedenste Nummernkombinationen durch. Wenn man diese Versuche auf 1.000 Websites verteilt, wird eine Anfrage schon nach wenigen Sekunden als richtig zurückkommen", so die Forscher aus Newcastle. Das funktioniere zum Beispiel bei der dreistelligen Kartennummer. Da die unterschiedlichen Websiten mit Bezahlfunktion oftmals verschiedene Karteniformationen verlangen, kann der Hacker auf diese Weise die gesammelten Informationen wie ein Puzzle einer Bankkarte zuordnen. So können problemlos Ablaufdatum, Kreditkartennummer oder auch der Sicherheitscode einem Konto korrekt zugeordnet werden.

Visa-Karten besonders anfällig

Besondere Sicherheitslücken wiesen hierbei die Karten der Visa auf. Das Visa-System reagiere nicht auf ungewöhnlich zahlreiche Abfrageversuche und falsche Eingaben. So ist es den Hackern möglich 10 bis 20 Abfrageversuche durchzuführen, ohne dass der Anfrageversuch abgebrochen wird. Visa hat bereits auf die Äußerungen der Sicherheitsexperten reagiert. Zum einen habe man nicht die unterschiedlichen Ebenen der Betrugsprävention beachtet, zitiert die britischen Tageszeitung "Independent", zum anderen können sich Kunden durch die Nutzung von "Verified by Visa" gegen möglichen Missbrauch absichern.

Attacke auf Tesco-Bank

Im November dieses Jahres musste auch die britische Tesco-Bank, die der britischen Supermarktkette Tesco gehört, einen Hackerangriff vermelden. Auf 40.000 Konten wurden verdächtige Transaktionen festgestellt. Tesco stellte das Online-Banking vorübergehend ein. Vermutet wird, dass der Hackerangriff mit der "Distributed Guessing Attack" durchgeführt wurde.

Redaktion finanzen.net