Rumänische Hackerbande mit 500.000 Kreditkartendaten verhaftet
Die australische Bundespolizei hat die Verhaftung einer Bande rumänischer Kreditkartenhacker bekannt gegeben. Es ist der bisher größte derartige Fall des Landes. Durchgeführt wurde die Verhaftung von rund 200 rumänischen Polizisten an 36 Standorten. Dabei wurden 16 Personen vorläufig festgenommen, von denen letztendlich sieben in Haft bleiben mussten. Ihnen wird vorgeworfen, sich illegal rund 500.000 australische Kreditkartendaten beschafft und bereits 30.000 davon benutzt zu haben, um jeweils etwa 1000 Australische Dollar (rund 800 Euro) abzugreifen.
Die Hacker arbeiteten von Rumänien aus und machten sich Schwächen von Microsofts Remote Desktop Protocol (RDP) zunutze. RDP spiegelt Bildschirminhalt und Tastatureingaben eines entfernten Geräts lokal.
Der australische Sophos-Mitarbeiter Paul Ducklin kritisiert daher zu Recht, dass es fahrlässig sei, damit arbeitende Rechner unzureichend gegenüber dem Internet abzusichern – genau das haben aber wohl einige australische Retailer getan. Unklar ist noch, ob sie alle gleich ungeschickt waren oder ob der Angriff über eine gemeinsam genutzte Infrastruktur – etwa in der Cloud – vorgetragen wurde.
“RDP zum Internet hin offen zu lassen ist ungefähr so, als ob man einem Besucher einen Sitzplatz im Serverraum anbietet und bitte dort sitzen zu bleiben und nichts anzufassen, während man selbst eine Weile in die Mittagspause geht”, erklärt Ducklin anschaulich.
Nachdem sich die Rumänen eine RDP-Verbindung ins Netzwerk verschafft hatten, war es für sie ein Leichtes, die Kassensoftware zu belauschen und von dort Kreditkartenummern abzugreifen. Da Sicherheitsvorkehrungen der Karteninhaber in diesem Fall völlig nutzlos sind, diese aber nur schwer nachweisen können, nicht am Datenverlust schuld zu sein, kommt Ducklin zu dem Schluss, dass Gesetze erforderlich sind, denen zufolge sogenannte “Sicherheitsvorfälle” öffentlich gemacht werden müssen . Das ist eine Forderung, die derzeit auch in der EU diskutiert wird. Im vorliegenden Fall verlor aber keiner der betroffenen Kreditkartenbesitzer Geld: Die australischen Finanzinstitute haben die betrügerisch abgebuchten Beträge erstattet.