Die Kriminellen missbrauchen sie jedoch, um sich Zugriff auf fremde Guthaben zu verschaffen. Anschließend wird das gesamte Punkteguthaben in einer Rewe-Filiale ausgezahlt – meist zum Kauf einer Paysafecard, die sich leicht zu Geld machen lässt. Die Geschädigten haben keine Chance einzugreifen: Der gesamte Vorgang dauert nur wenige Minuten und findet oft in weit entfernten Filialen statt.
Wie die Betrüger an die Punkte kommen
Auf den ersten Blick klingt es nach einer Sicherheitslücke in der App. Doch Rewe dementiert: Es gebe weder ein Datenleck noch technische Probleme. Stattdessen nutzen die Kriminellen eine simple aber effektive Methode – sie greifen auf im Darknet kursierende Zugangsdaten zurück oder erschleichen sich diese durch Phishing.
Die heise-Recherche zeigt: Bei mehreren Opfern waren die Zugangsdaten tatsächlich in sogenannten „Combolists“ im Darknet zu finden – Listen mit gestohlenen Benutzernamen und Passwörtern. Dennoch bleibt Zweifel, ob es sich nicht doch um eine Sicherheitslücke in der Rewe App handeln könnte. Heise online beruft sich auf mehrere Opfer, die angeben, sichere Passwörter und das Zwei-Faktor-System der App zu nutzen.
Auch kleine Guthaben sind für Kriminelle interessant
Was für den einzelnen Kunden nach einem kleinen Verlust aussieht, summiert sich für die Täter: Sie gehen hochprofessionell vor und nutzen automatisierte Methoden, um massenhaft Zugangsdaten durchzuprobieren. Irgendwo werden sie dabei immer fündig. Die erbeuteten Bonuspunkte wandeln sie dann blitzschnell in Paysafecards oder andere Gutscheine um. Diese lassen sich im Darknet zu Bargeld machen – zwar mit Verlust, aber dafür ohne Risiko erwischt zu werden. Ein perfektes System für die Täter: Kleine Beträge summieren sich, die Opfer merken den Diebstahl oft erst Tage später, und die Spuren verlieren sich im digitalen Nirgendwo.
Was Rewe-Bonus-Nutzer jetzt wissen müssen
Wer die Rewe Bonus App nutzt, sollte jetzt besonders aufmerksam sein. Ein wichtiges Warnsignal: Taucht plötzlich ein unbekannter „Sammelpartner“ im Konto auf, ist höchste Eile geboten. Auch verschwundene Punkte sind natürlich ein Alarmzeichen – dann ist es aber meist schon zu spät. Der beste Schutz ist ein sicheres Passwort, das man nirgendwo sonst verwendet.
Die Annahme, ein Bonusprogramm sei „nicht so wichtig“, machen sich die Täter zunutze. Wer auf Nummer sicher gehen will, aktiviert am besten die Zwei-Faktor-Authentifizierung. Dann brauchen die Betrüger neben dem Passwort auch noch Zugriff aufs Smartphone, um ins Konto zu kommen.
Diese Optionen haben betroffene Kunden
Wurde man Opfer eines Punktediebstahls, kann man den Rewe-Kundenservice kontaktieren. Die gute Nachricht ist, dass Rewe das Problem kennt – die weniger gute, dass offenbar nicht alle Betroffenen ihr Guthaben zurückbekommen. Wie heise online berichtet, erstattet das Unternehmen in manchen Fällen die gestohlenen Punkte aus Kulanz. Eine Garantie gibt es dafür aber nicht.
Doch bis alle Kunden ihre Konten mit der Zwei-Faktor-Authentifizierung abgesichert haben, dürfte die Betrugsmasche weitergehen. Die Empfehlung der Sicherheitsexperten von heise online ist daher eindeutig: Wer die Bonus App nutzt, sollte nicht nur regelmäßig sein Guthaben kontrollieren, sondern vor allem ein sicheres Passwort verwenden – auch wenn es sich „nur“ um Treuepunkte handelt.
