Tausende Payback-Konten von Betrügern geplündert

Durch eine Sicherheitslücke beim beliebten Payback Rabattportal wurden bereits mehr als 5.000 Payback-Konten leergeräumt. Der Punkte Diebstahl läuft dabei immer nach einem ähnlichen Muster ab. Die Betrüger erlangen auf noch unbekannte Art Zugriff auf das Payback-Konto und erstellen mit dem Guthaben auf dem Konto einen Einkaufsgutschein für die Einlösung z.B. bei REWE, dm oder ARAL. Dort wird dann für einen Kleinbetrag eingekauft und der Rest des Gutscheins in Bar ausgezahlt.

Die Pressesprecherin von Payback betont:

„Wir haben keinen Fremdeingriff auf Payback-Systeme festgestellt. Niemand hat direkten Zugriff auf unsere Daten. Die Sicherheitsprobleme liegen nicht bei uns“

Tatsächlich stellen sich gleich mehrere Fragen, die Payback aktuell nicht beantworten kann und möchte. Die geschädigten Payback-Kunden haben auffällig oft ein hohes Punkteguthaben verloren. Die Betrüger scheinen also gezielt Payback-Konten mit hohem Punkteguthaben im Visier zu haben. Dies würde jedoch voraussetzen, dass es bei Payback durchaus ein allgemeines Datenleck gab oder noch gibt. Für die Einlösung bei einigen Partnern, wie z.B. Rewe ist eine Payback-Karte notwendig. Die Bar-Auszahlung des Guthabens in der Partnerfiliale ist ausgeschlossen.

Die Sicherheitsvorkehrungen von Payback sind absolut unzureichend. Payback sendet dem Kontoinhaber nach erfolgter Einlösung der Punkte eine Email, dass die Punkte erfolgreich eingelöst wurden. Zu diesem Zeitpunkt ist es jedoch leider bereits zu spät um den Betrug noch stoppen zu können. Dabei gäbe es für Payback den aktuellen Betrug mit einfachen Methoden zu verhindern.

  • Eine Einlösung der Punkte sollte nur bei Vorlage der Payback-Karte möglich sein.
  • Keine Barauszahlung des restlichen Gutscheinwertes, der über dem Kaufbetrag liegt.
  • Die Erstellung eines Gutscheins muss über eine Handy-Pin bestätigt werden.
  • Payback-Kunden über jeden vergeblichen Log-In Versuch per Email zu informieren und die Änderung der Zugangsdaten zu empfehlen.
  • Den Login-Bereich besser absichern. Eine vierstellige Pin ist zu leicht zu hacken.

Völlig unverständlich ist es, warum Payback es den Partner-Filialen ermöglicht beim Einkauf z.B. einer Packung Kaugummi die Differenz des Gutscheins teilweise im hohen dreistelligen Betrag in bar auszuzahlen. Es ist dringend erforderlich die Einlösebedingungen für Einkaufsgutscheine anzupassen. Ggf. sollten Gutscheine über einem bestimmten Schwellwert auch nur per Post versendet werden und nicht an einem Kundenterminal ausgedruckt oder per Email verschickt werden.

Was Geschädigte jetzt unbedingt tun sollten

  • Betroffene sollten unbedingt sofort Passwort und Pin ändern. Sofern Sie noch nicht auf Pin umgestellt haben, sollten Sie dies aktuell auch nicht tun. Für die Betrüger ist es einfacher eine vierstellige Pin zu hacken, als das Geburtsdatum und die Postleitzahl des Wohnorts. https://www.paybackblog.de/schutz-von-kundendaten-regelmaessig-passwoerter-ueberpruefen-und-aendern/
  • Melden Sie dem Payback-Kundenservice umgehend den Fremdzugriff und fordern Sie die Gutschrift der gekauten Payback-Punkte
  • Erstatten Sie zudem in jedem Fall bei der örtlichen Polizeidienststelle oder der Internetwache des Bundeslandes Strafanzeige! Sofern Sie telefonisch Kontakt mit dem Kundenservice hatten, fragen Sie nach dem Ort der Einlösung. Diese Information kann bei Payback der Mitarbeiter einsehen, teilweise wird die Auskunft jedoch verweigert. Übergeben Sie sämtliche Informationen Screenshot vom Punktekonto, Email über die Einlösung des Punkteguthabens und ggf. die Informationen zum Einlöseort und Zeit an die Polizei.
  • Payback wurde um eine Stellungnahme gebeten. Eine Antwort auf unsere Fragen liegt uns aktuell noch nicht vor. Sobald wir eine Rückmeldung erhalten, werden wir hier den Beitrag ergänzen.

    Weitere Informationen zum Thema finden Sie bei sternTV, der Abendzeitung München und auf der Payback-Facebookseite.

    UPDATE 29.11.2016: Frau Katharina Sommer von Payback hat uns heute am Beispiel von REWE die Einlösung des Guthabens schriftlich mitgeteilt:

    … Die PAYBACK Punkte werden umgehend vom Punktekonto abgebucht. Ihr REWE Guthaben wird dann im REWE Kassensystem elektronisch hinterlegt und wird automatisch mit Ihrem nächsten Einkauf verrechnet. Die Verrechnung ist auf Ihrem Kassenbeleg ersichtlich. Bei einer Teileinlösung bleibt der Restbetrag auf Ihrer PAYBACK Karte und wird beim nächsten Einkauf verrechnet. …

    Die Betrugsmasche wird dadurch immer mysteriöser. Nach dieser Erklärung müssten die Betrüger die Payback-Karte entwendet haben, gefälschte Payback-Karten besitzen oder sich Ersatzkarten von Payback für fremde Personen an falsche Adressen haben zusenden lassen. Nur mit einer Payback-Karte ist das Guthaben einlösbar.

    Darüber hinaus kann ein Restguthaben nicht ausgezahlt werden, sondern verbliebe weiterhin auf der Payback-Karte. Eine Auszahlung in bar ist somit ausgeschlossen! Sofern die Partnerfiliale dennoch das Guthaben in bar auszahlt ist dies ein klarer Verstoß gegen die Einlösebedingungen. In diesem Fall könnte sich die Partner-Filiale gegenüber dem geschädigten Payback-Kunden unter Umständen haftbar gemacht haben. Stutzig sollten Sie werden, wenn kurz nach der Umwandlung Ihres Punkteguthabens, eine Gutschrift über einzelne Punkte beim jeweiligen Partner erfolgte. Das Restguthaben müsste dann eigentlich noch auf der Payback-Karte vorhanden sein, oder es wurde unrechtmäßig von der Partner-Filiale ausgezahlt.

    … Die Barauszahlung des Guthabens ist ausgeschlossen. Das Guthaben ist 36 Monate gültig, ein Umtausch oder eine Rückgabe ist nicht möglich. …

    Falls Sie nur eine Gutschrift über einzelne Punkte beim der betrügerischen Einlösung Ihres Punkteguthabens erhalten haben, sollten Sie möglichst zeitnah prüfen, ob das Restguthaben noch auf Ihrer Karte vorhanden ist.

    … Am REWE Servicepunkt können Sie jederzeit die Höhe des Guthabens, und die Einlösebedingungen einsehen. …

    Wichtig zu wissen ist zudem, dass an den Payback-Service Terminals bei Rewe bis zu 500 Euro auf die Payback-Karte geladen werden können. Online können dagegen nur 20 Euro eingelöst werden. Bei höherem Guthaben scheint somit zumindest bei Rewe der Betrug über einen Service-Terminal erfolgt zu sein.

    … Der Maximalbetrag, welcher vor Ort aufgeladen werden kann beträgt 500 Euro, online können maximal 20 Euro aufgeladen werden. …

    Lösen Sie das Restguthaben ggf. selbst ein, oder fordern Sie Payback um umgehende Rückbuchung auf Ihr Payback-Konto auf. Fordern Sie Payback zudem auf darzulegen, ob eine Ersatzkarte beantragt und ggf. wohin diese versendet wurde. Zudem sollten Sie von Payback Auskunft darüber verlangen, in welcher Filiale zu welcher Zeit die Punkte eingelöst wurden und über welche IP-Adresse die Einlösung des Punkteguthabens erfolgte. Stellen Sie in jedem Fall Strafanzeige und übergeben sämtliche Rechercheergebnisse der Polizei. Geben Sie zudem bei Ihrer Anzeige einen Hinweis auf das Ausmaß der Betrugsmasche. Aktuell wurden bereits mehr als 5.000 Payback-Konten geplündert. Die Dunkelziffer dürfte dabei wesentlich höher liegen.

    Die große Anzahl der Geschädigten (bereits über 5.300 bestätigte Fälle) und die überwiegend hohen erbeuteten Beträge wecken erhebliche Zweifel an der offiziellen Stellungnahme von Payback, dass kein Sicherheitsproblem bei Payback vorliegt. Die statistische Wahrscheinlichkeit tendiert gegen Null, dass in kurzer Zeit eine so große Kundenzahl Opfer einer Phising-Attacke wurde, dagegen keine weiteren Schäden bei anderen Onlinehändlern, Onlinebanking etc. bei diesen Personen aufgetreten sind.

    Auch wenn Sie aktuell nicht betroffen sind. Ändern Sie ggf. Ihre Zugangsdaten. Sparen Sie Ihr Guthaben nicht zu lange auf, sondern lösen Sie Ihr Guthaben wenn möglich ein bevor das Punktekonto zu lukrativ für Betrüger wird. Es gibt klare Anzeichen dafür, dass die Betrüger es vor allem auf Konten mit erheblichen Guthaben abgesehen haben.

    Unkommentiert möchte ich zum Abschluss noch dieses Statement aus den Kommentaren der Abendzeitung München nicht unerwähnt lassen:

    kürzlich habe ich in einem DM-Markt ein Gespräch einer älteren Kundin mit der Kassiererin mitbekommen. Die ältere Dame war offensichtlich nicht im WWW angemeldet mit ihrer Karte und hat sich bei der Kassiererin erkundigt, wie es denn sein könne, daß von ihrer Paybackkarte die Punkte „verschwinden“ – sie hatte nur noch paar Punkte drauf – hatte aber seit Jahren gesammelt und nun diese Punkte vermisst. Also – gibt wohl ne Sicherheitslücke bei Payback – sagen tun die das sicher nicht laut.

    UPDATE 08.01.2017: Es gibt erste Hinweise darauf, dass die Betrugsmasche über den Log-In mit Geburtsdatum und Postleitzahl funktioniert. Das Sicherheitsleck könnte demnach auch bei einem Payback-Partner liegen. Wurde dort das Kundenkonto gehackt wurden eventuell Payback-Nummer, Geburtsdatum und die Anschrift, also die Postleitzahl entwendet. Falls auch Ihre Payback Punkte gestohlen wurden, schreiben Sie bitte anonym als Kommtentar, bei welchen Partnern Sie regelmäßig Payback-Punkte gesammelt haben und welche dieser Partner ggf. Ihre Anschrift mit Geburtsdatum gespeichert haben (also vermutlich Onlineshops!). Vielleicht lässt sich so ein Muster erkennen, dass alle Betroffene bei einem Partner Kunde waren.

    UPDATE 01.03.2017: Die Sicherheitslücke könnte auch Ihre Papiermülltonne sein. Werfen Sie die Werbesendungen von Payback ungeschreddert in den Müll? Sofern Sie noch nicht auf die Passwort-Verifizierung umgestiegen sind, können die Betrüger dadurch problemlos zwei von drei nötigen Bestandteile für den Log-In ermitteln. In den Werbemails findet sich neben der Anschrift im Adressfeld auch rechts oben die vollständige Kundennummer! Werfen Sie daher die Payback-Werbepost nicht ungeschreddert in den Müll. Das fehlende Geburtsdatum kann in vielen Fällen über zahlreiche Adresshändler ziemlich preiswert eingekauft werden.

    UPDATE 22.03.2017: Einige Nutzer berichten, dass auch nach Umstieg auf die Passwort-Legitimation, bzw. nach Entfernung des Geburtsdatums noch Fremdzugriffe auf das Payback-Konto erfolgten. In diesen Fällen besteht weiterhin die Möglichkeit sich mit der PIN-Nummer bei den Service-Points einzuloggen. Daher sollte unbedingt auch diese Schwachstelle durch Änderung der Pin beseitigt werden!

    Um die Sicherheit für das Payback-Konto zu verbessern, sollten Sie zeitnah auf den Log-In mit einem starken Passwort (mindestens 8-10 Zeichen mit Groß- und Kleinschreibung, Zahlen und Sonderzeichen) umsteigen.

    Sicherheit der Payback Zugangsdaten erhöhen

    Dies erfolgt im Payback Kundenbereich über den Menüpunkt „Meine Zugangsdaten“. Sobald Sie ein Passwort eingerichtet haben, kann online kein Log-In mehr über das Geburtsdatum und die Postleitzahl oder die vierstellige Pin-Nummer erfolgen! Zusätzlich sollten Sie immer auch die vierstellige Pin-Nummer ändern. Die Pin-Nummer kann am REWE Servicepunkt weiterhin genutzt werden!

    Payback Kontaktmöglichkeiten
    Den Kundenservice von Payback erreichen Sie unter der Telefonnummer 089 540208020 von Montag bis Samstag in der Zeit von 8 bis 20 Uhr. Per Fax: 0180 5055108 (0,14 €/Min. aus dem deutschen Festnetz, max. 0,42 €/Min. aus dem Mobilfunk).

    Payback Punkte in Bargeld einlösen
    Die Payback-Punkte können ab 200 einlösbarer Punkte auch jederzeit auf ein Bankkonto ausgezahlt werden. Eine Anleitung, wie die Auszahlung funktioniert lesen Sie in diesem Beitrag.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

*

54 Gedanken zu “Tausende Payback-Konten von Betrügern geplündert”