Card-Testing-Angriffe auf WooCommerce: was sie sind und wie du sie stoppst

Beim Card Testing gibt jemand mit gestohlenen Kartennummern kleine Bestellungen in deinem Shop auf, um herauszufinden, welche Karten noch funktionieren. Die Karten, die durchgehen, werden danach für Betrug genutzt, und dein Shop bleibt auf einem Haufen fehlgeschlagener Bestellungen, gefälschter Kunden und möglicher Rückbuchungen sitzen. Bei WooCommerce umgehen manche Angriffe deine Checkout-Seite sogar ganz.

Woran du es erkennst

• Schübe kleiner Bestellungen, oft für dasselbe günstige Produkt, von denen viele bei der Zahlung scheitern.
• Kundennamen und Adressen, die keinen Sinn ergeben oder sich mit kleinen Abweichungen wiederholen.
• Bestellungen ohne echtes Stöbern dahinter. WooCommerce berichtet von Angriffen direkt auf seine Store API, auch in Shops, die den Checkout-Block nicht verwenden. Der „Käufer“ hat also vielleicht nie eine Seite geladen.

Was WooCommerce dir mitgibt

Die Store API hat ein eingebautes Rate Limiting, das aber standardmäßig ausgeschaltet ist. Die Entwickler von WooCommerce sagen es offen: Es bremst einen Angriff sofort, verhindert ihn aber nicht vollständig.

• Schalte es ein. Entwickler können es mit dem Filter woocommerce_store_api_rate_limit_options aktivieren. Ab WooCommerce 9.6 lassen sich deutlich strengere Regeln für den Endpunkt, der Bestellungen aufgibt, im Admin-Bereich einschalten.
• Hinter einem Proxy oder CDN: Aktiviere den Proxy-Modus, damit du keine echten Käufer sperrst, die sich die Adresse des Proxys teilen.
• Erkenne Angreifer an mehr als der IP. Ab WooCommerce 9.8 kann ein Entwickler den IP-basierten Schlüssel des Rate Limitings über den Filter woocommerce_store_api_rate_limit_id durch einen eigenen Fingerabdruck ersetzen.

Die Kartenprüfungen deines Zahlungsanbieters, etwa CVV, Adressprüfung und 3-D Secure, sind die andere Hälfte: Sie helfen, gestohlene Karten abzulehnen, bevor eine Belastung durchgeht.

Quelle: WooCommerce Developer Blog, Card Testing Attacks and the Store API (Dezember 2024, auf Englisch).

Was AdProtektor bei WooCommerce ergänzt

• Checkout-Schutz. Ein Besucher, den AdProtektor aufgrund eindeutiger Nachweise markiert hat, also erkannte Automatisierung, eine Sperre, die du selbst gesetzt hast, oder ein Besuch von außerhalb des Gebiets, das du zulässt, kann nichts in den Warenkorb legen und keine Bestellung aufgeben. Er sieht eine Referenz, die er nennen kann, wenn er an einen Fehler glaubt. Alle anderen kaufen ganz normal ein.
• Eine Prüfung auf dem Server, bevor die Bestellung existiert. Mit dem AdProtektor-Plugin und deinem Site-Key wird jede Bestellung über den klassischen Checkout, den Checkout-Block oder einen Zahlungsbutton, der sie nutzt, auf deinem Server geprüft, bevor WooCommerce sie anlegt. Bestellungen, die Shop-Manager anlegen, werden nicht geprüft.
• Im Zweifel geht die Bestellung durch. Ist AdProtektor nicht erreichbar, geht die Bestellung durch, ein Ausfall kostet dich also nie einen echten Verkauf. Du kannst den Checkout-Schutz für eine Website im Dashboard abschalten.
• Die Versuche bleiben sichtbar. Jeder blockierte Versuch wird mit seiner Referenz im Dashboard erfasst, damit du siehst, wer gestoppt wurde und warum.

Eine kurze Checkliste

1. Schalte das Rate Limiting der Store API ein, ab WooCommerce 9.6 mit den strengeren Regeln für Bestellungen.
2. Aktiviere den Proxy-Modus, wenn dein Shop hinter einem Proxy oder CDN liegt.
3. Lass CVV, Adressprüfung und 3-D Secure bei deinem Zahlungsanbieter eingeschaltet.
4. Installiere das AdProtektor-Plugin mit deinem Site-Key, damit markierte Besucher die Bestellphase nicht erreichen.
5. Behalte fehlgeschlagene Bestellungen im Blick: Ein plötzlicher Schub ist das Signal, die Grenzen zu verschärfen.

Wenn du Englisch liest, führt die Seite zur WordPress- und WooCommerce-Integration Schritt für Schritt durch die Einrichtung des Plugins. Um deinen Shop zu schützen, starte eine kostenlose Testphase.