Netz um Kreditkartennummerndieb zieht sich zusammen
Gästebuch brachte Hackerjäger auf die Spur.
Die Internetnewssite Antionline hatte sich auf die Fährte von "Maxus" oder "Maxim" gesetzt, der nach eigenen Angaben 300.000 Kreditkarteninformationen von der Firma CD Universe gestohlen hatte (siehe TP-Bericht). Indem die Hackerjäger von "Antionline" sich als Kreditkartenbetrüger ausgaben, sei es ihnen gelungen, die wahre Identität von "Maxus" aufzudecken.
In einem Artikel auf der Antionline-Website erläutert der Gründer und Firmenchef, John Vranesevich, wie sie dem Cracker oder "Carder", wie es im Insiderjargon heißt, auf die Spur gekommen seien und wie er nach ihren Erkenntnissen die Kreditkarteninformationen zu Geld machte.
"Maxus" hatte auf seiner "Credit Card Datapipe" genannten Website pro Besucher eine gestohlene Kreditkarteninformation "gratis" veröffentlicht. In einem Text auf der Website wurde das als Vergeltungsmaßnahme dargestellt, weil sich CD Universe geweigert hatte, 100.000 Dollar Erpressungsgeld an Maxus zu zahlen. Doch laut Antionline ist der wahre Sachverhalt ganz anders. In ihrer Darstellung war die "Datapipe" bloßes Lockmittel, um den wirklichen kriminellen Kundenkreis anzuziehen. Auf der Website gab es auch ein Gästebuch, in das sich potentielle Käufer einer großen Zahl von Kreditkartennummern eintragen konnten. Mitarbeiter von Antionline nutzten Email-Adressen in diesem Gästebuch, um den Personenkreis um "Maxus" zu infiltrieren. Sich selbst als Kreditkartenbetrüger ausgebend, wurden sie ohne größere Hindernisse als solche akzeptiert und es wurde ihnen ein Konto bei der Hansabanka Riga genannt, auf das sie Geld überweisen sollten, um Tausende an gestohlenen Kreditkartennummern zu erhalten. Über dieses Konto seien sie auf die wahre Identität von Maxus gekommen, dessen voller Name Maxim Ivancov sei. Seine rechte Hand sei ebenfalls identifiziert worden, als Evgenij Fedorov, der unter dem Hackerpseudonym Diagnoz auftritt und Einnahmen aus dem Betrug über ein Konto in St. Petersburg laufen ließ.
Vranesevich erläutert detailliert, wie die Kreditkarteninformationen zu Geld gemacht wurden. Die Karten seien an Großhändler zum Preis von 1 US$ pro Karte in Einheiten von jeweils 1000 verkauft worden. Dieses Geld geht an Maxus und er garantiert, dass keine zwei Käufer die gleichen Karten erhalten würden. Die "Großhändler" würden die Karten dann an "Endkunden" weiterverkaufen, zu Preisen von bis zu 500 US$ pro Karte. Manche dieser Weiterverkäufer, die sozusagen "in Kommission" mit den Karten handelten, mussten hohe Beteiligungen am Weiterverkaufserlös an Maxus abdrücken. Eine weitere Methode sei die "direkte Liquidation". Maxus habe die Software ICVerify von Cybercash nicht wie ursprünglich gemeldet dazu benutzt, um an die Kreditkarteninformationen heranzukommen, sondern um Karten, über die er bereits verfügte, liquide zu machen. Dabei installiert sich Maxus selbst als Handelsunternehmen, das Kreditkartenzahlungen annimmt, und benutzt gestohlene Kartennummern so, als wären diese Kunden seines Geschäfts. Geldbeträge werden dann via ICVerify tatsächlich von den gestohlenen Kartenkonten abgezogen und an das Konto von Maxus "Geschäft" überwiesen. Die am wenigsten lukrative Methode ist schließlich die, die nicht direkt von Maxus/Ivancov benutzt wird und die darin besteht, mit den Nummern Einkäufe zu machen und die Güter dann weiterzuverkaufen oder bei Pfandhäusern einzulösen. Manche der "Endkunden" würden die Nummern dazu benutzen, kostenpflichtige Pornosites zu besuchen oder in Online-Kasinos zu spielen.
Vor diesen Erläuterungen von Antionline hatte es verschiedenste Spekulationen darüber gegeben, wie Maxus/Ivancov an die Daten gekommen ist. Brad Greenspan, der Vorstandsvorsitzende von e-Universe, der Muttergesellschaft von CD Universe, sagte noch am Dienstag, man wisse immer noch nicht, wo die Sicherheitslücke aufgetreten sei, ob im Betriebssystem, der E-Commerce- oder der Datenbanksoftware.
Nachdem Maxus behauptet hatte mittels der Software ICVerify von der Firma Cybercash an die Kreditkarten gekommen zu sein, hatte Cybercash das in einer auf ihrer Website publizierten Stellungnahme in Abrede gestellt. ICVerify werde von CD Universe nicht für Web-Transaktionen benutzt. Ausserdem handelt es sich dabei um kein Web-gestütztes sondern um ein PC-gestütztes System, das typischerweise im Zusammenhang mit einer PC-gestützten, normalen Ladenkasse benutzt wird und über Telefonleitung mit einer Kreditkartenverrechnungsstelle verbunden ist.
Die zahlreichen Emailkontakte zwischen Maxim Ivancov und verschiedenen Newssites und Hackerjägern lassen darauf schließen, dass der angeblich erst 19 Jahre alte Cracker die Medienpublizität liebt. In manchen seiner Stellungnahmen versuchte er sogar, sich als eine Art "ethischer Hacker" darzustellen, der geldgierige E-Commerce-Unternehmen anprangert, denen Einkünfte wichtiger sind als der Schutz der Privatsphäre ihrer Kunden. Das wirkliche Motiv scheint aber doch allein Geld zu sein.
CD Universe hat inzwischen seine Kunden über den Vorfall informiert. Auf ihrer Homepage findet sich allerdings kein Hinweis darauf. Zum Thema "Security" steht da vielmehr, dass man Netscape's Secure Commerce Server benutzt und dass Secure Sockets Layer sicherer sei, als wenn man eine Kreditkarte in einem normalem Geschäft benutzt. Und dann steht da auch: "CD Universe has successfully processed over three hundred thousand credit-card transactions." Das nennt sich Chuzpe. Antionline hingegen rät, dass alle, die jemals bei CD Universe eingekauft haben, sofort ihre Kreditkarten sperren sollen.