Deutsch
EnglishAccount Takeover und Konzertkarten
- Lesezeit:
- 6 min
Taylor Swift und Account Takeover
Endlich Konzertkarten: Von der Vorfreude zum Frust
Taylor Swift ist derzeit wohl die bekannteste und beliebteste Pop-Ikone der Welt. Tickets für ein Konzert kosten schnell über 100 Euro, können aber auch locker mal die 400er-Marke knacken. Und obwohl Taylor-Swift-Konzerte mittlerweile in riesigen Stadien mit Tausenden von Zuschauern stattfinden, sind Tickets oft nicht leicht zu bekommen. Glücklich schätzen können sich also die Fans mit Eintrittskarten!
Umso frustrierender ist es, wenn das Ticket plötzlich weg ist. So ist es vor Kurzem in den USA, aber auch in Deutschland vielen Fans ergangen: Man steht morgens auf, schaut in das E-Mail-Postfach und stellt fest, dass die lange ersehnten Tickets weitergereicht oder unter dem eigenen Namen an den Anbieter zurückverkauft wurden (vermutlich, um dann direkt von jemand Drittem gekauft zu werden) - keine schöne Vorstellung, aber genau so ist es schon häufig passiert.
Frust durch Account Takeover
Aber wie kann das sein? Wie sind Kriminelle in der Lage, Konzertkarten in fremdem Namen zu kaufen und zu verkaufen? Ein wesentlicher Grund liegt natürlich in der Digitalisierung von Konzerttickets. Die meisten Tickets sind heute nicht mehr in physischer Form erhältlich, sondern werden über Onlineticketshops vertrieben und gekauft. Dazu benötigt der Käufer in der Regel einen Account, über den Käufe und Verkäufe abgewickelt und bei dem Tickets hinterlegt werden können. Und solche Accounts sind klassischerweise über eine Kombination aus E-Mail-Adresse und Passwort zugänglich. D.h. jeder, der über die richtige Kombination aus E-Mail-Adresse und Passwort verfügt, kann auf den entsprechenden Account zugreifen.
Credential Stuffing
Und genau das ist bei den Fällen von Ticket-Übernahmen passiert: Kriminelle haben sich mit den richtigen Zugangsdaten in die Fan-Accounts eingewählt und dort dann im Namen des jeweiligen Fans gehandelt. Doch wie kommt der Kriminelle an die entsprechenden Zugangsdaten? Dazu muss man wissen, dass Hacker in Untergrundforen Anmeldedaten, die durch Phishing erbeutet wurden oder in Datenlecks enthalten waren, tauschen und mit ihnen Handel treiben.
Verschärft wird das Problem dadurch, dass viele Nutzer dieselben Anmeldedaten bei verschiedenen Online-Diensten verwenden. Selbst wenn ein Nutzer seine Daten bei einem bestimmten Dienst aus Sicherheitsgründen ändert, sind dieselben Daten immer noch für sehr viele andere Online-Dienste gültig. Und diese Schwachstelle machen sich Kriminelle zunutze, indem sie die entsprechenden Zugangsdaten bei allen möglichen Diensten, wie zum Beispiel einem Ticketshop, ausprobieren. Diese Art, an gültige Zugangsdaten für einen Dienst zu gelangen, nennt man übrigens Credential Stuffing.
Eine noch gefährlichere Art von Datenleaks sind Leaks, die durch sogenannte Stealer Malware entstanden sind, sogenannte Stealer Logs. Stealer Malware sammelt nicht nur Passwörter, sondern auch die URLs zu den entsprechenden Diensten, bei denen das Passwort Verwendung findet. In solchen Fällen muss der Kriminelle nicht mal mehr die Passwörter durch Credential Stuffing ausprobieren, sondern hat direkt die Zugangsdaten samt URL vorliegen. Wenn in einem Stealer Leaks eben auch die Zugangsdaten zu einem Ticketshop enthalten sind, lassen sich noch einfacher Tickets klauen.
Credential Stuffing und Konzerttickets
Wie oben bereits erwähnt, sind manche Tickets, wie z.B. Taylor-Swift-Tickets, so wertvoll, dass es sich lohnt, einen gewissen Aufwand zu betreiben, um sich solche Tickets anzueignen. Um zunächst herauszufinden, wer es geschafft hat Tickets zu erhalten, reicht oft ein Blick in die sozialen Medien (Instagram verrät viel über die Hobbys der Nutzer). Hat man ein potenzielles Opfer ausgemacht, ist ein Blick in die gängigen Datenleaks für einen erfahrenen Hacker recht einfach. Die dort gefundenen Zugangsdaten können dann einfach beim entsprechenden Ticketshop ausprobiert werden - und aufgrund der Wiederverwendung von Zugangsdaten funktioniert diese Strategie häufiger als man meinen möchte.
Sind nur Konzertkarten interessant?
Natürlich sind nicht nur Konzertkarten betroffen. Mit der gleichen Methode können auch Tickets für Fußballspiele, Messen oder Festivals oder sogar die Zugangsdaten zu Auto-Apps ergaunert werden. Aber natürlich lässt sich mit dieser Methode auch der Account einer beliebigen Social-Media-Plattform, eines Onlineshops, eines Lottoportals oder einer Versicherung übernehmen. Das kann dann unter Umständen noch schlimmere Folgen haben als der Verlust einer Konzertkarte. Mehr über die allgemeinen Folgen von Accountübernahmen erfahren Sie hier.
Account-Takeover verhindern
Wenn Kunden einer Plattform Opfer von Ticket- oder Account-Takeover werden, reagiert die Plattform häufig mit einem expliziten Hinweis auf das Problem der Wiederverwendung von Passwörtern (was ja im Falle von Stealer Logs noch nicht mal der Fall sein muss). Dabei war es für eine Plattform noch nie so einfach, Passwortwiederverwendung zu erkennen und zu verhindern und so ihre Kunden effektiv vor Account-Takeover zu schützen.
Plattform-Schutz mit Identeco
Identeco sammelt kontinuierlich die neuesten Leaks und bereitet die darin enthaltenen Daten DSGVO-konform auf. Diese Daten können dann Plattformen zur Verfügung gestellt werden, um kompromittierte Zugangsdaten zu identifizieren. Wurde ein Account identifiziert, der durch Accountübernahmen gefährdet ist, kann der Account-Inhaber beispielsweise über einen zweiten Faktor aufgefordert werden, ein neues Passwort zu wählen. Insbesondere kann so verhindert werden, dass unberechtigte Transaktionen, wie z.B. ungewollte Ticketverkäufe, über den entsprechenden Account durchgeführt werden.
Schutz von Accounts und Kundenbeziehungen
Ein Account ist oft die einzige Beziehung, die eine Plattform zu ihren Kunden hat. Und diese Beziehung muss natürlich wie jede erfolgreiche Beziehung gepflegt werden. Dazu gehört natürlich auch der Schutz des Accounts vor Accountübernahmen und Credential Stuffing Angriffen, damit der Plattformkunde die Plattform weiterhin mit einem guten Gefühl nutzen kann und bereits gekaufte Tickets in den Händen des Besitzers bleiben. So kann die jeweilige Plattform neben einem besseren Gefühl bei der Interaktion mit der Plattform auch einen deutlich besseren Kundenschutz für ihre Kunden bieten.
Account-Takeover vermeiden
Schutz von Plattformen: Plattformen können mit den Identeco-Produkten gefährdete Accounts identifizieren und so vor Account-Übernahmen schützen.
Passwortwiederverwendung vermeiden: Die Mehrfachnutzung derselben Zugangsdaten bei verschiedenen Diensten öffnet Kriminellen Tür und Tor zu den eigenen Accounts durch Credential Stuffing.
Credential Stuffing: Kriminelle nutzen erbeutete Anmeldedaten und probieren sie bei vielen Diensten aus um Accounts zu übernehmen und z.B. Tickets zu stehlen.
Starke Kundenbeziehung: Durch den Schutz von Kundenaccounts wird das Kundenvertrauen bewahrt und eine positive Erfahrung bei der Plattformnutzung gewährleistet.
Fazit
Account Takeover ist ein wachsendes Problem, das nicht nur zu finanziellen Verlusten führt, sondern auch die Vertrauensbeziehung zwischen Plattformen und ihren Kunden stark beeinträchtigen kann. Insbesondere bei wertvollen Gütern wie Konzerttickets, die durch Credential Stuffing gestohlen werden, ist dann der Frust groß. Plattformen können jedoch aktiv dazu beitragen, ihre Kunden durch den Einsatz moderner Sicherheitstechnologien wie den Identeco-Produkten zu schützen. Durch die Identifizierung und Sicherung kompromittierter Accounts wird Account-Takeover verhindert und das Nutzer- und Plattformerlebnis sowie das Kundenvertrauen bleiben erhalten.
Hier gibt es weitere Einblicke in die angesprochenen Themen:
Haben Sie noch weitere Fragen zur Datensicherheit, Account-Sicherheit oder zu den Leistungen von Identeco, kontaktieren Sie uns gerne per Mail oder vereinbaren Sie hier einen Termin mit uns!
Artikel teilen