So überprüfen Sie eine Website auf Credential-Substitution: Schritt-für-Schritt-Anleitung
So überprüfen Sie eine Website auf Credential-Substitution: Schritt-für-Schritt-Anleitung
Die Manipulation von Zahlungsdaten auf einer Website sieht alltäglich aus, und darin liegt ihre Gefahr. Das Unternehmen kann plötzlich seine Kontonummer ändern, der Manager kann eine andere Telefonnummer haben, und die Zahlungsseite kann einen Link enthalten, der ins Leere führt oder zu einem fremden Wallet. Für den Kunden sind das zusätzliche Kosten. Für das Unternehmen bedeutet es Streit, Rückerstattung, Vertrauensverlust und stundenlange Auseinandersetzungen.
In den meisten Fällen hackt der Angreifer nicht alles durcheinander. Ihm genügen 1-2 Einstiegspunkte: eine E-Mail im Namen eines Mitarbeiters, Zugang zum CMS, ein schwaches Passwort beim Hosting. Dann wird ein Block auf der Seite geändert, und der Käufer zahlt nicht dorthin. Wenn man sich schnell in einem verwandten Thema orientieren muss, ist das nützlich Wie man eine Website auf Betrug überprüft: Anleitung, aber hier geht es speziell um die Manipulation von Zahlungsdaten.
1. Was ist die Manipulation von Zahlungsdaten und warum ist sie gefährlich
Die Änderung der Zahlungsdaten ist nicht nur ein neuer Konto in der Rechnung. Dazu gehören Kontakte, E-Mail, Zahlungslinks, QR-Codes, Bankdaten, Unterschriften in E-Mails und sogar der Text in PDF. Ändert sich 1 Zeichen in der Adresse – und der Kunde schreibt schon nicht mehr dorthin. Ändert sich 1 Zahl in der Kontonummer – und das Geld geht an einen falschen Empfänger.
Für das Unternehmen ist das Risiko doppelt. Erstens, das Geld kann an der Kasse vorbeigehen. Zweitens, der Ruf leidet: Der Kunde interessiert sich selten dafür, wer genau schuld ist – das Hosting, der Auftragnehmer oder ein interner Mitarbeiter. Er sieht nur eines: Auf der Website waren einmal die einen Zahlungsdaten und dann die anderen. Und das reicht für einen Konflikt.
Ein separates Problem ist die versteckte Änderung in E-Mails. Der Kunde hat die Rechnung erhalten, das Attachment geöffnet, bezahlt, und nach 2 Tagen stellte sich heraus, dass die Zahlungsdaten ersetzt wurden. Solche Fälle ziehen sich oft 1-2 Wochen hin, während die Buchhaltung und der Support die alten Versionen der Dokumente abgleichen. Ja, unangenehm.
2. Anzeichen, die auf einen Austausch hindeuten können
Das erste Signal sind unerwartete Änderungen in Rechnungen und Dokumenten. Wenn gestern in der PDF eine BIC war und heute eine andere, ist das ein Grund, innezuhalten. Ein weiteres Merkmal sind neue Zahlungsmethoden, die es vorher nicht gab, oder alte Schaltflächen, die auf eine unbekannte Domain führen. Die Überprüfung dauert 5 Minuten und spart Stunden.
Achten Sie auf die E-Mail-Adressen. Schon ein zusätzlicher Punkt, Bindestrich oder der Wechsel der Domain von company.ru zu company-pay.ru ändert bereits die Bedeutung. Auch die Telefonnummer wird nicht nach dem Aussehen, sondern nach der Tatsache überprüft: Die Nummer kann ähnlich sein, aber nicht Ihre. Die Manipulation von Zahlungsdaten wird oft als "technisches Update" maskiert, und das ist das Erste, was man manuell überprüfen sollte.
Es gibt auch grobere Symptome: Das Bestellformular sammelt zusätzliche Felder, die Zahlungsdaten im Footer der Website sind verschwunden, und in den E-Mails des Autoresponders ist eine neue Rechnung aufgetaucht. Wenn auf der Seite "Zahlung" plötzlich 3 Überweisungsmethoden anstelle von 1 angezeigt werden, ist das nicht immer ein Fehler des Designers. Manchmal ist das ein Angriffspunkt. Zum Vergleich ist es nützlich, zu öffnen, wie man die Website auf das Vorhandensein einer Seite überprüft und zu sehen, wie normalerweise die Dienstabschnitte gestaltet sind.
3. Welche Abschnitte der Website sollten zuerst überprüft werden
Beginnen Sie mit der Seite "Kontakt". Dort werden am häufigsten Telefonnummer, E-Mail, Büroadresse und Links zu Messengern geändert. Öffnen Sie dann "Zahlung" oder "Zahlungsdaten", wenn eine solche Seite vorhanden ist. Dort befinden sich normalerweise die Steuernummer, das Geschäftskonto, die BIC, der Name des Empfängers und manchmal ein Muster der Zahlungsanweisung. Ein falsches Zeichen ist bereits ein Grund für eine Überprüfung.
Überprüfen Sie anschließend die Produktkarten und Dienstleistungsseiten. Die Täuschung versteckt sich gerne in Beschreibungen, im Button „Kaufen“, im Pop-up-Fenster und im kurzen Textblock über dem Footer. Scheuen Sie sich nicht, die Seite sowohl auf dem Telefon als auch auf dem Computer zu öffnen: Manchmal ändert der Angreifer nur die mobile Version. Und ja, das kommt vor.
Überprüfen Sie auch die PDF-Dokumente separat. Rechnung, Vertrag, Preisliste, Protokoll – all das wird gerne gefälscht, weil die Datei heruntergeladen wird und nicht erneut mit der Website abgeglichen wird. Ein weiteres Risikogebiet sind E-Mails und automatische Antworten. In ihnen kann sich ein alter Signatur-Banner befinden, aber bereits mit einem neuen Zahlungslink. Die E-Mail kam um 9:12, und die Täuschung war um 9:10 – da haben Sie Ihr Angriffsfenster.
Wenn die Website eine Rückgabeseite hat, überprüfen Sie auch diese. Der Betrüger greift nicht immer auf „Zahlung“ zu; manchmal ändern sie die Abschnitte, in denen der Kunde nach dem Rückgabeprozess sucht und die Kartennummer hinterlässt. Bei dieser Überprüfung hilft es, die Website auf das Vorhandensein einer Seite zu überprüfen, da die Logik der Dienstseiten ähnlich ist.
4. Wie man die Website technisch überprüft
Vergleichen Sie zunächst die aktuelle Version der Website mit einer Sicherungskopie. Sie benötigen 2 Schnappschüsse: von gestern und von heute. Wenn Sie Backups eingerichtet haben, öffnen Sie das Archiv und überprüfen Sie bestimmte Dateien: das Template der Zahlungsseite, den Footer, den Kontaktblock, die PDF-Generierungsdatei. Selbst 1 Zeile im Template kann die Angaben ändern.
Sehen Sie sich dann das Änderungsprotokoll in der CMS an. Im Administrationsbereich sind oft Autor, Datum und Uhrzeit der Bearbeitung sichtbar. Wenn der Content-Manager die Angaben nie geändert hat und die Bearbeitung von einem neuen Benutzer um 03:17 kam, ist das bereits ein Signal. Die Bearbeitungshistorie speichert manchmal auch frühere Versionen des Textes, sodass Sie sofort sehen, was gelöscht wurde. Ohne unnötige Theorie.
Überprüfen Sie die Dateien auf dem Server. Besonders die, die für Vorlagen, Formularverarbeitung, Anzeige von Kontoinformationen und den Versand von E-Mails verantwortlich sind. Eine infizierte Datei kann die Kontonummer nur für einen Teil der Besucher ändern, zum Beispiel für Benutzer mit einem bestimmten Browser oder aus einer bestimmten Region. Solche Dinge machen sie gerne heimlich.
Wenn Sie Zugang zum Administrationspanel haben, vergleichen Sie das, was dort sichtbar ist, mit dem, was auf der öffentlichen Seite angezeigt wird. Manchmal sind im Admin-Bereich bereits die richtigen Daten vorhanden, während auf der Website ein alter Cache oder ein externes Skript läuft, das fremden Text über das Original legt. Wenn Sie eine Diskrepanz feststellen, dokumentieren Sie diese sofort, nicht erst einen Tag später.
5. Wie man Zahlungs- und Bankdaten überprüft
Vergleichen Sie die Steuernummer, das Geschäftskonto, die BIC, den Namen des Empfängers und den Verwendungszweck der Zahlung mit den offiziellen Dokumenten des Unternehmens. Wenn ein Detail nicht übereinstimmt, ist das kein Kleinkram, sondern ein Grund, die Zahlung zu stoppen. Für interne Überprüfungen halten Sie eine Referenzvorlage der Rechnung bereit, die von der Buchhaltung und dem Juristen genehmigt wurde, und ändern Sie diese nicht ohne Eintrag im Protokoll.
Zahlungslinks werden separat überprüft. Öffnen Sie die Adresse vollständig, nicht nur den Button. Überprüfen Sie die Domain, das Protokoll, überflüssige Zeichen, Subdomains und Weiterleitungen. Wenn der Link über einen Kürzer führt und Sie diesen nicht verwenden, ist das ein Grund zur Vorsicht. QR-Codes sind standardmäßig ebenfalls nicht sicher: Sie können innerhalb von 30 Sekunden ersetzt werden, und der Kunde bemerkt es nicht einmal.
Es gibt auch einen einfachen praktischen Ansatz. Nehmen Sie 2 verschiedene Kanäle: die Website und einen Papiervertrag oder die Website und eine Rechnung aus der Buchhaltung. Wenn die Daten an beiden Stellen übereinstimmen, ist das Risiko geringer. Wenn sie nicht übereinstimmen, klären Sie zuerst, wo die Fehlerquelle liegt. An dieser Stelle fragen viele zum ersten Mal, wie man eine Website auf die Änderung von Daten überprüfen kann, ohne einen Entwickler hinzuzuziehen, und die Antwort ist normalerweise die gleiche: Man muss nicht nur den Text, sondern auch den Weg vergleichen, den der Kunde zur Zahlung nimmt.
| Was zu überprüfen ist | Wo zu suchen ist | Worauf man achten sollte |
|---|---|---|
| Steuernummer und Name | Daten, Vertrag, Rechnung | Vollständige Übereinstimmung der Schreibweise |
| Kontonummer und BIC | Zahlungsseite, PDF | 1 Ziffer Fehler ist bereits kritisch |
| Zahlungslink | Schaltfläche, E-Mail, QR-Code | Domain, Weiterleitungen, Protokoll |
| Zahlungsempfänger | Rechnung, Kasse, Zahlungsformular | Übereinstimmung mit dem offiziellen Namen |
6. Was tun, wenn der Betrug bestätigt wurde
Der erste Schritt besteht darin, die verdächtige Seite oder das Formular zu deaktivieren. Wenn Sie nur Zugriff auf das Admin-Panel haben, entfernen Sie den Block aus der Veröffentlichung und stellen Sie die vorherige Version aus dem Backup wieder her. Warten Sie nicht bis zum Ende des Tages. Der Betrug mit den Daten auf der Website mag keine Pausen: Je länger die Seite geöffnet ist, desto größer ist die Chance, die Zahlung zu verlieren.
Stellen Sie dann die korrekten Daten aus der Referenzvorlage wieder her. Überprüfen Sie nicht nur die Seite, sondern auch die E-Mail, das PDF, die automatische Nachricht, die Unterschrift des Managers und die mobile Version der Seite. Wenn der Betrug an mehreren Stellen stattfand, korrigieren Sie alle 5 Punkte gleichzeitig. Andernfalls sieht der Kunde den alten Link in der E-Mail und den neuen auf der Website, und das führt zu Verwirrung.
Benachrichtigen Sie dann die Kunden, falls Bestellungen oder Zahlungen betroffen waren. Schreiben Sie kurz: was passiert ist, welche Daten korrekt sind, wohin man sich wenden kann, wenn die Zahlung bereits falsch gesendet wurde. Dehnen Sie den Text nicht auf 2 Bildschirme aus. Die Menschen brauchen eine Antwort, nicht Stilistik.
Ändern Sie die Passwörter und schließen Sie unnötige Zugänge. Überprüfen Sie die Konten von Mitarbeitern, Auftragnehmern, die E-Mail des Administrators, FTP, Hosting und das CMS-Dashboard. Wenn es einen verdächtigen Zugriff gab, notieren Sie die Uhrzeit und die IP-Adresse und bitten Sie dann einen Spezialisten, die Protokolle zu überprüfen. Dort ist oft zu sehen, wo die Manipulation begonnen hat.
7. Wie man die Website vor erneuter Manipulation schützt
Beginnen Sie mit den Zugriffsrechten. Der Content-Manager sollte keine Rechte auf Systemdateien haben, und der Auftragnehmer sollte keinen vollständigen Zugriff auf das gesamte Admin-Panel haben, wenn seine Aufgabe nur das Layout ist. Die Zwei-Faktor-Authentifizierung im Dashboard und in der E-Mail verringert das Risiko erheblich, insbesondere wenn jemand das Passwort im Browser speichert.
Es ist hilfreich, ein Änderungsprotokoll zu führen. Wer, wann und was geändert hat – 3 Zeilen geben bereits Klarheit im Falle eines Vorfalls. Wenn die Website klein ist, reicht eine einfache Tabelle. Wenn das Projekt groß ist, integrieren Sie Versionskontrolle und Benachrichtigungen über Änderungen in kritischen Bereichen. Nicht aus ästhetischen Gründen, sondern um den Schuldigen nicht anhand von Screenshots suchen zu müssen.
Backups sind nicht „für alle Fälle“ nötig, sondern nach einem Zeitplan. Bewahren Sie 2-3 letzte Versionen auf, um eine missratene Änderung in 10-15 Minuten zurückzusetzen. Fügen Sie eine Dateiüberwachung hinzu: Wenn sich die Vorlage der Kontodaten ändert, sollten Sie nicht erst eine Woche später vom Kunden erfahren. Das ist kein Luxus.
Eine weitere Schutzschicht ist die Überprüfung externer Skripte und Plugins. Manipulationen erfolgen manchmal über ein externes Zahlungsmodul oder ein Kontaktformular. Wenn Sie ein altes Plugin haben, das seit 8 Monaten nicht aktualisiert wurde, überprüfen Sie es zuerst. Und vergessen Sie nicht, die Website nach Updates auf einer separaten Kopie zu testen und nicht sofort auf der Live-Domain.
8. Wann sollte man sich an Spezialisten wenden
Wenn die Manipulation nur einen Textblock betroffen hat, kann der Website-Administrator die Aufgabe bewältigen. Aber wenn sich Dateien auf dem Server geändert haben, unbekannte Benutzer aufgetaucht sind oder die Daten erneut nach einem Rollback manipuliert werden, rufen Sie einen Entwickler und einen Spezialisten für Informationssicherheit. Eine erneute Manipulation am selben Tag bedeutet fast immer, dass der Zugang noch offen ist.
Ein Anwalt ist notwendig, wenn bereits Überweisungen auf fremde Konten erfolgt sind oder das Risiko eines Streits mit einem Kunden besteht. Er hilft, den Vorfall zu dokumentieren, die Korrespondenz zu sichern und Benachrichtigungen vorzubereiten. Manchmal ist es wichtiger, die Website nicht in der ersten Minute zu reparieren, sondern die Spuren richtig zu sammeln: Screenshots, Protokolle, Zeitpunkte der Änderungen, Kopien von Seiten. Das spart später nicht Stunden, sondern Wochen.
Wenn Sie sich nicht sicher sind, wo genau Sie nach der Manipulation suchen sollen, ist es besser, sofort mehrere Ebenen zu überprüfen: den Inhalt der Website, E-Mails, PDFs, Zugänge, Zahlungslinks, CMS-Protokolle. Je mehr Übereinstimmungen es gibt, desto einfacher ist es zu verstehen, wo die Manipulation stattgefunden hat. Und ja, in solchen Fällen ist übermäßige Eile fast immer hinderlich.
In der Praxis reichen meistens 4 Überprüfungen: die Seite mit den Angaben öffnen, das Konto mit der Vorlage vergleichen, die Zahlungsbestätigung überprüfen und die Änderungsprotokolle der letzten Tage ansehen. Wenn es an mindestens einer Stelle eine Abweichung gibt, funktioniert nicht mehr die Vermutung, sondern die Ursachenforschung.
