Das Rewe-Bonusprogramm und die entsprechende App werden anscheinend vermehrt von Cyberkriminellen missbraucht. Nach Erkenntnissen des Bundesverbandes des Detektiv- und Ermittlungsgewerbes stecken häufig osteuropäische Tätergruppen und somit die Organisierte Kriminalität dahinter, die die Kunden unter anderem über falsche Links im Zuge von Phishing-Angriffen hereinlegen.
Detektiv Michael Schikorr-Günther sprach mit der Lebensmittel Praxis und ist Regionalleiter Nord für den Bundesverband. Das Ganze füge sich in den Betrug mit Gutscheinkarten ein, der jährlich Schäden in Höhe von schätzungsweise mehreren hunderttausend Euro verursache.
Karten werden auf dem Schwarzmarkt schnell zu Bargeld
Die Betrugsmasche: Das Bonuskonto wird über die Funktion „Gemeinsam sammeln“ mit dem Konto einer völlig unbekannten Person verbunden. Denn in der Rewe-App können andere Nutzer zum gemeinsamen Punktesammeln eingeladen werden. Der Eingeladene kann dem zustimmen oder ablehnen. Vor dem Zusammenlegen der Punktekonten erhält der Eingeladene per App eine weitere Information und wird zur erneuten Zustimmung aufgefordert.
Den Tätern gelingt das Aushebeln des üblichen Procederes. Bei der kriminellen Masche wird das gesamte Guthaben in einer Rewe-Filiale ausgezahlt und bevorzugt zum Kauf einer Paysafecard eingesetzt. Solche nicht an Personen gebundenen Karten lassen sich auf dem Schwarzmarkt leicht in Bargeld verwandeln.
Rewe betont: Rewe Bonus ist sicher
Auf der Internetplattform Reddit werden zahlreiche Fälle aufgelistet. Auch der Computerzeitschrift „c´t“ sind eine Reihe Vorkommnisse bekannt geworden, so dass sie jüngst unter der Überschrift „Punkteklau im Supermarkt“ berichtet hat. Zum Beispiel auf Reddit ist von Betroffenen-Seite gelegentlich von einem Datenleck bei Rewe die Rede. Doch Rewe-Sprecher Thomas Bonrath kontert die Vorwürfe gegenüber der LP: „Rewe Bonus ist sicher.“ Der Sachverhalt basiere nicht auf einer Sicherheitslücke (Leak) in dem System. Vielmehr setzten die Betrüger weiterhin auf Phishing und Datensammlungen im DarkWeb, so Bonrath.
Der Rewe-Sprecher stellt fest: „Leider haben wir keinen Einfluss auf die individuell ausgewählten Passwörter der Kunden, die bei jeder Form von Kundenkonten ein potentielles Sicherheitsrisiko darstellen können. Daher hat jeder Nutzer von Rewe Bonus die Möglichkeit, das Rewe-Konto mit einer Zwei-Faktor-Authentisierung (2FA) vor Betrug abzusichern.“ Diese Option fänden Nutzer sowohl in der Rewe-Webanwendung als auch in der Rewe-App unter „Daten und Sicherheit“.
Betroffene sollten unverzüglich Anzeige erstatten
Bonrath versichert: „Wir weisen unsere Kunden auf diese Möglichkeit, das Konto bestmöglich vor Angriffen zu schützen, nun vermehrt hin! Außerdem unterstützen wir betroffene Kunden zum Beispiel aktiv, indem wir ihre Passwörter für das Rewe-Konto zurücksetzen. Beim nächsten Login können sie dann ein neues, sicheres Passwort erstellen.“
Thomas Bonrath hebt hervor: „Grundsätzlich sollten Maßnahmen zur Passwortsicherheit unternommen werden, um zu verhindern, dass Unbefugte auf Zugangsdaten zugreifen können.“ Ein weiterer Tipp sei, zu überprüfen, ob die eigene E-Mail-Adresse möglicherweise von einem Datenleck betroffen ist.
Bonrath weiter: „Bei verdächtigen Aktivitäten/Vorkommnissen empfehlen wir, alle wesentlichen Online-Passwörter zu ändern, um zu verhindern, dass Unbefugte auf Zugangsdaten zugreifen können. Wir raten Betroffenen außerdem, unverzüglich Anzeige bei der Polizei zu erstatten. Sobald sich die Ermittlungsbehörden mit einem Aktenzeichen bei uns melden, werden wir die Untersuchungen bestmöglich unterstützen.“
Computerzeitschrift: Ein ungutes Bauchgefühl bleibt
Im „c´t“-Artikel heißt es zusammenfassend: „Ein ungutes Bauchgefühl bleibt.“ Unter anderem sei es „schleierhaft, wie die Kriminellen an den durch die Rewe-Entwickler eingebauten Sperren gegen das Durchprobieren von Zugangsdaten vorbeikamen.“ Eine Sicherheitslücke bei Rewe sei „nicht mit hundertprozentiger Sicherheit“ ausgeschlossen. Allerdings wird in dem Beitrag ebenfalls hervorgehoben, dass die Erklärung, Kriminelle hätten Zugangsdaten schlicht durchprobiert oder anderweitig erbeutet, „nach bisherigem Kenntnisstand die wahrscheinlichste“ sei.
