Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Nowe skimmery przystosowane do kopiowania danych z kart chipowych
Klasyczne skimmery to urządzenia montowane przez przestępców na bankomatach w celu nielegalnego skopiowania zawartości paska magnetycznego karty płatniczej, co pozwala później na wykonywanie nieuprawnionych transakcji. Skimmery nowego typu mogą jednak kopiować również informacje zawarte na kartach chipowych.
Tradycyjny skimmer jest najczęściej swego rodzaju nakładką zakładaną na slot służący do wkładania karty płatniczej w bankomacie. Karta przechodząc przez skimmer jest kopiowana, po czym trafia do bankomatu, dzięki czemu osoba wypłacająca pieniądze nie zauważa jakiejkolwiek zmiany w funkcjonowaniu samego punktu wypłat.
Często można było usłyszeć opinie, że skimming dotyczy tylko kart płatniczych wyposażonych w pasek magnetyczny, a wraz z upowszechnieniem się kart zawierających wyłącznie układ elektroniczny (w technologii EMV), problem zniknie. Skimmery przystosowane do kopiowania danych z kart chipowych są już jednak w użyciu.
Shimmer — skimmer przystosowany do kopiowania danych z kart chipowych (źródło: krebsonsecurity.com)
Jak informuje Brian Krebs, skimmery nowego rodzaju (zwane w takiej konfiguracji „shimmerami”) odkryto w meksykańskich bankomatach.
Urządzenie wkłada się bezpośrednio do slotu służącego do wkładania karty płatniczej do bankomatu, dzięki czemu jego wykrycie jest znacznie utrudnione. W trakcie działania shimmer pośredniczy w odczycie danych z chipu karty przez czytnik w bankomacie i oczywiście zapisuje tak uzyskane dane.
Shimmer zamontowany w bankomacie (źródło: krebsonsecurity.com)
Karty chipowe w porównaniu do rozwiązań magnetycznych posiadają dodatkowe zabezpieczenia przechowywanych danych — jednym z nich jest kod iCVV (integrated circuit card verification value) mający uniemożliwić wykorzystanie skopiowanych danych do utworzenia kopii karty.
Skoro jednak pojawiły się shimmery, to znaczy, że przestępcy albo w jakiś sposób zabezpieczenia złamali, albo nie wszystkie bankomaty poprawnie weryfikują iCVV i pozwalają na wypłaty z użyciem fałszywych (prawdopodobnie magnetycznych) kart stworzonych na podstawie odczytanych w powyższy sposób danych.
W każdym razie do udanego ataku przestępcom zazwyczaj będzie potrzebny jeszcze nasz PIN , dlatego wszystkie zasady jego bezpieczeństwa w przypadku shimmerów pozostają takie same jak dla kart magnetycznych.
— Wojciech Smol
Zastanawiam się czy nie da się na podstawie minimalnych różnic napięć wyłapać wciśnięcia klawiszy w bankomacie…
Skopiować karty się nie da, bo trzeba by było się włamać do TPM-a, co jest technicznie niewykonalne przy samym interfejsie elektrycznym, chyba że w Meksyku mają jakieś trefne karty i tyle. :P
Jedyne co mi przychodzi do głowy (i chyba ma sens), to zastosowanie tej samej sztuczki, co przy „klonowaniu” kart zbliżeniowych – odczytujesz jednorazowy iCVV i dane karty, całość zapisujesz na klasycznym pasku magnetycznym wrzucając iCVV w miejsce CVV, niektóre bankomaty się na to łapią. Wadą tej metody jest to, że skorzysta się z jej jedynie raz (i trzeba to zrobić przed właścicielem karty), ale przy limitach pojedynczej wypłaty, jakie niektórzy mają ustawione…
Faktycznie, bardziej precyzyjne będzie tu określenie „kopiowania danych z karty chipowej”, a nie samej karty. Wprowadziłem poprawki :).
Polskie bankomaty wciagaja karte w calosci asam czytnik jest zabezpieczony przed wsuwaniem przejsciowek, poza tym zewnetrzny skimmer nie zdazy skopiowac karty bo ta jest wciagana i wypluwana osc szybko, za szybko zeby nawiazac kontakt z chipem w locie