E-Commerce-Betrug – Glossar

Betrug ohne physische Karte (Card-not-present – CNP):

CNP-Betrug ist ein Überbegriff für Kreditkartenbetrug, der über Online-Transaktionen, Telefon oder andere virtuelle Zahlungsformen erfolgt, bei denen ein Kunde keine physische Kreditkarte vorlegt und die Transaktion ohne die Genehmigung des Karteninhabers durchgeführt wird. Dies geschieht typischerweise, nachdem Kreditkarten- oder Zahlungsinformationen im Dark Web gestohlen oder illegal erworben wurden. Für Händler ist es oft schwieriger, CNP-Betrug zu erkennen oder zu verhindern, da sie die Zahlungsmethode, beispielsweise eine Kreditkarte oder eine digitale Wallet, nicht physisch untersuchen können.

Carding oder Card Testing

Card Testing ermöglicht Betrügern, zu überprüfen, ob die gestohlenen Kreditkartendaten gültig sind, bevor sie einen großen Betrugsversuch wagen. Beim Card Testing neigen Betrüger dazu, mehrere Bestellungen mit geringem Wert aufzugeben, um unauffällig zu bleiben und zu vermeiden, dass die Bestellungen von Betrugsbewertungstools gekennzeichnet werden. Card Testing wird häufig auf den Websites von Unternehmen durchgeführt, die eine schnelle Abwicklung gewährleisten, beispielsweise Lebensmittellieferanten oder sogar gemeinnützige Organisationen. Dabei werden gemeinnützige Websites ins Visier genommen, da für Online-Spenden keine Lieferadresse erforderlich ist und Betrüger davon ausgehen, dass gemeinnützige Organisationen nicht über ausgefeilte Betrugserkennungssysteme verfügen.

Eigenbetrug

Eigenbetrug liegt vor, wenn ein Karteninhaber eine Transaktion vorsätzlich unter falschen Voraussetzungen anfechtet, um eine Rückerstattung zu erhalten und gleichzeitig die Waren oder Dienstleistungen zu behalten. Dies kann aufgrund eines Fehlers auftreten, wenn der Karteninhaber vergisst, dass er den Kauf getätigt hat oder ihn auf seiner Abrechnung nicht erkennt. Allerdings missbrauchen auch unseriöse Akteure den Rückbuchungsmechanismus absichtlich, indem sie behaupten, die Transaktion sei nicht autorisiert gewesen oder die Ware sei nie geliefert worden bzw. defekt gewesen, um den Händler zu betrügen. Dies ist auch häufig mit dem Missbrauch von Rückerstattungen verbunden – eine gängige Vorgehensweise professioneller Betrüger besteht darin, einen falschen Rückerstattungsanspruch geltend zu machen und, falls dieser nicht akzeptiert wird, eine Rückbuchung zu veranlassen.

Kontoübernahme

Die Kontoübernahme (Account Takeover – ATO) ist der Akt, bei dem ein böser Akteur unbefugten Zugang zu einem legitimen Online-Konto eines Kunden erhält – normalerweise infolge einer Datenpanne – ohne die Zustimmung des Inhabers. Wenn ein Betrüger Zugriff auf das Online-Konto eines Kunden erhält, beispielsweise auf ein Bankkonto, eine E-Mail-Adresse oder ein Social-Media-Profil, kann er verschiedene Betrugsversuche unternehmen – vom Einkaufen mit gespeicherten Zahlungsmethoden bis hin zum Einlösen von Treuepunkten oder einfach zum Ausnutzen wertvoller persönlicher Informationen. Um einen ATO-Angriff auszuführen, benötigt ein Betrüger Zugangsdaten: den Benutzernamen und das Passwort eines legitimen Kunden. Am häufigsten werden diese Daten durch Phishing von Zugangsdaten oder bei einem Datenleck kompromittiert.

Social Engineering (SE):

Social Engineering ist der Prozess, eine Person aus unrechtmäßigen Gründen dazu zu manipulieren, eine bestimmte Handlung auszuführen. Im Kontext von E-Commerce-Betrug können Betrüger Kunden dazu bringen, ihre Kontodaten und persönlichen Informationen preiszugeben. Dies geschieht, um Zahlungs- oder Rechnungsdaten zu verknüpfen oder zu fälschen oder sogar, um jemanden zu überreden, mit iTunes zu bezahlen.

M-Commerce-Betrug

Unter M-Commerce-Betrug versteht man betrügerische Aktivitäten, die speziell auf mobile Handelsplattformen und -transaktionen abzielen. Dies kann von unbefugten Käufen über gestohlene mobile Geräte bis hin zur Ausnutzung mobiler Zahlungssysteme und -Apps reichen. Bei diesem Betrug werden die spezifischen Schwachstellen mobiler Transaktionen ausgenutzt, beispielsweise weniger strenge Authentifizierungsprozesse.

Betrugsbewertungssystem

Im Kontext des CNP-Betrugsmanagements bietet ein Bewertungssystem Händlern für jede Bestellung einen „Risikoscore“ als Hinweis auf das Risiko dieser speziellen Bestellung. Händler, die sich auf solche Bewertungssysteme verlassen, definieren oft Regeln, wie Bestellungen basierend auf ihrem Score behandelt werden sollen. Zum Beispiel können Bestellungen unter einem bestimmten Score-Schwellenwert automatisch genehmigt, Bestellungen über einem bestimmten Score-Schwellenwert sofort abgelehnt und Bestellungen mit einem mittleren Score zur manuellen Betrugsprüfung weitergeleitet werden. Händler, die Bewertungssysteme verwenden, sind noch immer stark von manuellen Teams abhängig, da sie die Schwelle für die Genehmigung ständig neu bewerten und sicherstellen müssen, dass die Bewertung das Risiko sich entwickelnder Betrugsmethoden genau widerspiegelt, da sie weiterhin für Betrug haftbar bleiben – was bedeutet, dass falsche Genehmigungen kostspielige Rückbuchungen nach sich ziehen können.

Zahlungsbetrug

Zahlungsbetrug liegt vor, wenn jemand absichtlich falsche oder gestohlene Zahlungsinformationen (Kreditkarten- oder Kontodaten eines rechtmäßigen Karteninhabers) verwendet, um einen Kauf zu tätigen. Dies kann verschiedene Methoden umfassen, wie die Verwendung gestohlener Kreditkartendaten, die Manipulation von Kontoinformationen oder die Fälschung von Überweisungen, um das Zahlungssystem zu betrügen und Händler oder Finanzinstitute zu schädigen.