Thought Leadership
Ein Programmierfehler durch KI-Hilfe legte 345.000 gestohlene Kreditkarten von Jerry’s Store offen. So nutzten Betrüger Amazon und Temu für ihre Checks.
Jerry’s Store, einer der bekanntesten Marktplätze für den Handel mit illegal erlangten Finanzdaten, wurde Opfer eines Datenlecks, wie Cybernews berichtete. Ursache war ein fehlerhafter Befehl einer künstlichen Intelligenz, der sensible Datenbanken für jedermann zugänglich im Internet platzierte. Das Leck offenbarte Details zu rund 345.000 Datensätzen, wobei jede betroffene Kreditkarte mit vollständigen Identitätsmerkmalen der Opfer im Netz landete.
KI plante keine Sicherheitsmechanismen ein
Die Entdeckung durch Sicherheitsforscher von Cybernews offenbarte eine ironische Wendung in der Geschichte der Internetkriminalität. Die Betreiber von Jerry’s Store nutzten für den Aufbau ihrer technischen Infrastruktur die KI-gestützte Entwicklungsumgebung Cursor. Dieses Tool soll Programmierern helfen, Code effizienter zu schreiben, doch im Fall der Kriminellen führte es zum Desaster. Beim Versuch, ein statistisches Dashboard zur Überwachung der Verkaufszahlen zu erstellen, generierte die KI einen Befehl, der ein offenes Web-Verzeichnis ohne jegliche Authentifizierung anlegte.
Die Chat-Protokolle zwischen dem Administrator und der KI belegen, dass die künstliche Intelligenz zwar verstand, dass sie ein System zur Verifizierung von Finanzdaten baute, jedoch keine Sicherheitsmechanismen einplante. Dieser Vorfall, der in Fachkreisen als Risiko des Vibecoding bezeichnet wird, also das Programmieren allein auf Basis von KI-Prompts ohne tiefere Prüfung, führte dazu, dass interne Management-Tools und die dazugehörigen Datenbanken ungeschützt über eine öffentliche IP-Adresse erreichbar waren. Damit erhielten Forscher ungewollten Einblick in das Herzstück eines kriminellen Unternehmens.
Hunderte bis tausende Konten zweckentfremdet
Das Datenleck gab detailliert Aufschluss darüber, wie Carding-Marktplätze heute operieren. Gestohlene Daten sind nur dann wertvoll, wenn sie noch funktionieren. Um sicherzustellen, dass eine Kreditkarte nicht bereits vom rechtmäßigen Besitzer oder der Bank gesperrt wurde, führen die Betreiber von Jerry’s Store automatisierte Gültigkeitsprüfungen durch. Anstatt jedoch eigene riskante Testsysteme zu nutzen, missbrauchen sie die Infrastruktur großer, legitimer Online-Händler.
Die Forscher konnten nachweisen, dass hunderte bis tausende Konten bei Plattformen wie Amazon (USA und Japan), Temu, Lyft, Grubhub und DoorDash für diese Tests zweckentfremdet wurden. Die Betrüger hinterlegen die gestohlenen Daten als Zahlungsmittel oder führen minimale Transaktionen im Cent-Bereich durch. Da diese globalen Konzerne täglich Milliarden von Zahlungen verarbeiten, fallen solche Kleinstbeträge in der Masse kaum auf. Sobald ein Händler die Karte akzeptiert, markiert das System von Jerry’s Store sie als valid und bietet sie zum Verkauf an. Diese Methode erlaubt es den Kriminellen, ihre Aktivitäten unter dem Radar der herkömmlichen Betrugserkennungssysteme der Banken zu halten.
345.000 Kreditkarten identifiziert
Die Analyse des exponierten Servers lieferte erschreckende Zahlen über das Ausmaß des Handels. Insgesamt konnten Details zu etwa 345.000 Karten identifiziert werden. Davon wurden rund 145.000 als aktuell gültig eingestuft, während etwa 200.000 Datensätze bereits als ungültig markiert waren. Die im Netz gelandeten Informationen pro Kreditkarte umfassen alle für den Online-Betrug notwendigen Details: die vollständige Kartennummer, das Ablaufdatum, den Sicherheitscode (CVV/CVC) sowie den Namen und die vollständige Rechnungsadresse des Karteninhabers.
Auf dem Schwarzmarkt erzielen verifizierte Datensätze Preise zwischen 7 und 18 US-Dollar pro Stück. Allein die zum Zeitpunkt des Lecks als gültig markierten Karten repräsentieren somit einen Warenwert von etwa 1 bis 2,6 Millionen US-Dollar. Da Jerry’s Store jedoch kontinuierlich neue Chargen an Daten erhält und verkauft, ist davon auszugehen, dass die Plattform jährlich Umsätze im hohen zweistelligen Millionenbereich generiert. Das Leck traf den Marktplatz somit an seiner empfindlichsten Stelle: seinem Inventar und seiner Reputation in der Unterwelt.
Server war in Deutschland gehostet
Obwohl die Betreiber ihre Identität zu verschleiern versuchen, lieferten die Chat-Logs mit dem KI-Assistenten und die genutzten Tools wertvolle Hinweise. Die interne Kommunikation deutet darauf hin, dass der Administrator fließend Chinesisch spricht. Der Server selbst war interessanterweise in Deutschland gehostet. Experten gehen davon aus, dass hierfür ein sogenannter Bulletproof-Hosting-Provider genutzt wurde. Solche Anbieter werben damit, Inhalte auch bei Beschwerden oder rechtlichen Anfragen nicht offline zu nehmen, sofern sie nicht zwingend dazu gezwungen werden.
Jerry’s Store ist seit Ende 2023 aktiv und hat sich auf Opfer in den USA und Westeuropa spezialisiert. Das Leck zeigt, dass der Marktplatz über eine hochgradig automatisierte Maschinerie verfügt, die gestohlene Daten in Sekundenschnelle verarbeiten kann. Die Tatsache, dass nun zehntausende aktive Datensätze offenlagen, bietet den Finanzinstituten die seltene Gelegenheit, diese Karten proaktiv zu sperren, bevor die Käufer im Dark Web weiteren Schaden anrichten können.
Lehren aus der KI-Panne für die Software-Sicherheit
Der Fall Jerry’s Store dient als wichtiges Beispiel für die Gefahren unkontrollierter KI-Nutzung in der Softwareentwicklung. Wenn KI-Systeme wie Cursor oder GitHub Copilot zur Erstellung von Infrastrukturen genutzt werden, neigen diese dazu, funktionale Anforderungen über Sicherheitsaspekte zu stellen. Entwickler, egal ob in legitimen Unternehmen oder kriminellen Organisationen, riskieren Datenabflüsse, wenn sie den generierten Code nicht manuell auf Sicherheitslücken prüfen.
Für Verbraucher unterstreicht dieser Vorfall die Notwendigkeit, jede einzelne Transaktion auf der Kreditkarte genau zu prüfen. Da die Verifizierungstaktiken über namhafte Anbieter wie Lyft oder Amazon laufen, dürfen auch kleine Beträge nicht ignoriert werden. Die Aktivierung von Benachrichtigungen in Echtzeit für jede Kontobewegung und die Nutzung von Multi-Faktor-Authentifizierung für Online-Käufe bleiben die effektivsten Schutzmaßnahmen gegen den organisierten Handel mit Finanzdaten.
