"Nov" način zlorabe plačilnih kartic
Francoski raziskovalci so objavili članek o novem načinu zlorabe plačilnih kartic, zaradi katere je bilo v letih 2011-2012 aretiranih pet osumljencev, ki so nakradli za 600.000 evrov. Zgodba je zanimiva zlasti zato, ker so že leta 2010 raziskovalci s Cambridgea opozorili na možnost tovrstne zlorabe in izdelali delujoč prototip. Tedaj so jih izdajatelji kartic odslovili, češ da je v praksi ta napad nemogoč.
Glavna prednost kartic chip-and-PIN, ki jih sedaj končno uvajajo tudi v ZDA, a večinoma v obliki pin-and-sign, je večja varnost. Načeloma je treba za uporabo pridobiti tako čip kakor tudi številko PIN. Raziskovalci z École Normale Supérieure so pokazali, kako so nepridipravi v praksi obšli to zaščito.
PIN se namreč nikoli ne prenaša po omrežju, temveč ga preverja čip na kartici, ki terminalu vrne le podatek, ali je bil pravilen ali ne. To je z varnostnega vidika sicer dobro, ker je PIN nemogoče ukrasti s prisluškovanjem transakciji po mreži, po drugi strani pa ga še vedno lahko shrani zlonameren terminal. Ali pa – kot so naredili nepridipravi to pot – PIN prestreže drugi čip in terminalu vrne rezultat Pravilno ne glede na vnesen PIN.
Točno to so storili aretirani. Izdelali so prilagojene kartice, ki so bile le malce debelejše od pravih in niso zbujale pozornosti, saj jih je bilo še vedno mogoče vtakniti v bralnik. Dodali so jim poseben čip, ki je prestregel vneseni PIN in terminal pretental v izvedbo transakcije. Raziskovalci s Cambridgea so leta 2010 to pokazali na enak način, le da so uporabili prenosnik, vezja FPGA in kartice, zato je bil cel sistem okoren. Tedaj so izdajatelji kartic trdili, da ga je nemogoče miniaturizirati do mere, da bo uporaben v praksi.
Počakati je bilo treba le leto. Ranljivost je sedaj že zakrpana, trdijo, prav tako so uvedli nekatere dodatne varnostne mehanizme. In zlikovci? Ulovili so jih, ko so v banki postali pozorni na 7000 transakcij, ki so jih izvedli s ponarejenimi karticami. Ker so se vračali na ista prodajalna mesta, jih ni bilo težko najti in poloviti.