Výraz skimming sa dnes najčastejšie spája s platobnými kartami, pričom popisuje techniku fyzického skopírovania platobnej karty do zariadenia, ktoré si tieto informácie uchováva. Ani nie pred dvoma týždňami sa obeťami skimmingu stali zákazníci Slovenskej Sporiteľne, ktorých údaje o platobných kartách boli skopírované a následne bol z ich účtov vytiahnutý značný obnos peňazí v Taliansku. Ako funguje sa útočníci dostanú k údajom zapísaným na karte a čo s nimi následne robia sa pokúsim objasniť v tomto článku.

Väčšina dospelých osôb vo vyspelých krajinách vlastní jednu, či niekoľko platobných kariet, či už debetných, alebo kreditných. Karty sú založené na rovnakom princípe, rozdiel je až v prístupe k peniazom. Debetná karta je taká, ktorá pristupuje priamo k prostriedkom na účte majiteľa karty, kdežto kreditná karta čerpá prostriedky, ktoré nepatria majiteľovi, ale ktoré si požičiava od banky, či vydavateľa karty. Tento trend nie je u nás veľmi starý, karty používame len niekoľko rokov, pritom len málokto vie, že myšlienka predplatených kariet, ekvivalent dnešných kreditných kariet, pochádza už z roku 1887.

Obsah

• História
• Dostupná ochrana
• Skimming
• Skimmery, kamery a pinpady
• Skimmery
• PinPady
• Kamery
• Postup
• Dumpy
• Napaľovanie kariet
• Dumpy bez pinu
• Čipy
• Čierny trh
• Ako sa chrániť
• Záver

História

Koncept karty používanej na platenie za tovar a služby bol popísaný v roku 1887 Edwardom Bellamy v jeho utopistickej novele „Looking Backward“ (Pohľad do minulosti), v ktorej použil termín „kreditná karta“ až 19 krát. Prvé moderné predplatené karty boli používané v USA v 20tych rokoch minulého storočia na nákup benzínu. Ako prvý však zaviedol predplatené karty Western Union (dnes časť Citi Group), ktorý karty poskytoval svojim stálym zákazníkom. Prvou organizáciou poskytujúcou platobné karty veľmi príbuzné tým dnešným bol Diners Club, ktorý vznikol v roku 1950. Osem rokov neskôr vytvorila Jedna z najväčších bánk v USA, Bank of America, vlastnú kartu, ktorú nazval BankAmericard, z ktorej sa postupom času stala dnes najznámejšia platobná karta, Visa. Spoločnosť MasterCard vznikla v roku 1966 spojením niekoľkých menších bánk. Postupom času vznikali ďalšie a ďalšie spoločnosti, ktoré umožňujú ľuďom po celom svete nosiť so sebou prakticky celý svoj majetok. Dnes najlukratívnejšou kartou je Centurion od American Express, známy tiež ako AMEX Black, ktorý získavajú len významné osobnosti svetového biznisu, herci, či športovci s obrovským majetkom, dnes je odhadovaný počet všetkých majiteľov tejto karty okolo 17,000. Jedinou známou osobou, ktorá kartu stratila, je známa Americká herečka Lindsay Dee Lohan, najdrahšou známou platbou touto kartou bol nákup súkromného lietadla v hodnote 30 miliónov dolárov.
Bankomaty (v zahraničí známe ako ATM (Automated Teller Machine)) prešli tiež rozsiahlým vývojom. Prvý mechanický bankomat zostrojil Luther George Simjian pre banku City Bank of New York. Bankomat však bol po šiestich mesiacoch stiahnutý pre nezáujem zákazníkov. Prvý elektronický bankomat zostrojila spoločnosť De La Rule pre banku Barclays Bank v Londýne a do prevádzky bol uvedený 27. Júna 1967. Prvý moderný bankomat bol zostrojený v Americkom meste Dallas, Texas v roku 1968 konštruktérom Donom Wetzelom.

» návrat na obsah

Dostupná ochrana

Ako môžete vidieť, platobné systémy vznikli už pred rokmi a dodnes sa neustále vyvíjajú. Najviac sa spoločnosti zameriavajú na bezpečnosť týchto zariadení, aby zabránili okrádaniu svojich klientov. Tá je však veľmi ťažkopádna a každé ďalšie bezpečnostné opatrenie sa prejavuje až po veľmi dlhej dobe. Napríklad akákoľvek zmena na platobnej karte sa prejaví až po výmene všetkých vydaných kariet, čo znamená prakticky roky. Do tej doby musia aj bankomaty prijímať všetky druhy kariet, čo umožňuje zlodejom využívať vzniknuté bezpečnostné „diery“. Platobné systémy, rovnako aj zariadenia sa museli nutne vyvíjať s príchodom internetu, kedy spoločnosti pochopili, že jednotný systém pre bankomaty a internetové transakcie by znamenal priveľké riziko a mnoho problémov (minimálne po hardvérovej stránke). Preto vznikli nové ochranné prvky, ktoré sú rozdielne pre platbu cez internet a pre platbu v POS termináloch, či pri výbere peňazí z bankomatov.

Pri platbe cez internet sú zadávané informácie vytlačené na karte spolu s informáciami o majiteľovi karty, kdežto pri platbe cez POS terminály a bankomaty sú načítavané dáta z magnetického prúžku a po novom aj z čipu, ktorý bol doplnený len nedávno ako ďalší ochranný prvok práve pred skimmingom. Preto sa táto ochrana nazýva chip&pin (pin podľa bežnej ochrany pin kódom). U nás je tento druh ochrany implementovaný takmer vo všetkých bankomatov a vo väčšine POS terminálov. Rôzne bezpečnostné spoločnosti prichádzajú neustále s inováciami ochranných prvkov a tak je možné, že sa čoskoro dočkáme platobných kariet, ktoré budú ukladať biometrické údaje majiteľa a neumožnia inej osobe s manipuláciou prostriedkov. Dnes je poslednou novinkou bezdotykový spôsob platby (obsahuje RFID čip), u ktorého však mnoho bezpečnostných výskumníkov poukázalo na veľkú mieru rizika a veľmi jednoduché získanie údajov. Systém je však ešte len v plienkach a jeho rozšírenie (ak k nemu dôjde) bude trvať minimálne niekoľko rokov.

» návrat na obsah

Skimming

Skimming je metóda, ktorá spadá medzi podvody s platobnými kartami. Nie je tak rozšírená, ako napríklad odcudzenie platobnej karty cez internet, ale patrí medzi najrozšírenejšie metódy podvodu. Podľa niektorých štatistík patrí skimming na tretie miesto najbežnejšej formy odcudzenia platobnej karty, pričom minulý rok bolo evidovaných viac ako 700,000 prípadov len na území UK, a priemerná výška straty na hlavu bola 608 GBP (cca 24,000 Skk), čo predstavuje objem približne 426 miliónov GBP (cca 17 miliárd Skk). Spojené Štáty Americké sú pritom jednotkou v počte odcudzených platobných kariet, nasledované Ruskom. Anglicko je až na piatom mieste. Postihnutých je aj mnoho turistických destinácií. Na vrchole rebríčku sa udržuje najobľúbenejšia destinácia pre Amerických turistov, Thajsko, ktoré zaznamenáva s podielom až 17%. Ročne sú takto odcudzené desiatky miliárd korún a väčšina páchateľov nie je nikdy odhalená.

Páchatelia sú považovaní za špičku v organizovanom zločine, ich techniky sú dokonale prepracované, pričom dodnes sa podarilo zadržať len do desať páchateľov, ktorí úspešne okrádali ľudí práve cez klonovanie platobných kariet. Tí používajú mnoho techník, medzi ktorými sa nachádza samozrejme aj sociálne inžinierstvo. Presvedčiť obeť aby vám prakticky dobrovoľne vydala informácie o karte je pre skúseného zlodeja otázka jednej krátkej minúty. Medzi ich arzenál patria priam dokonalé náhražky skutočných zariadení, často sú schopní prekryť aj veľkú časť bankomatu, aby obeť nepostrehla, že sa ju niekto snaží okradnúť. Obete sú, práve kvôli veľmi nízkej informovanosti o jednoduchosti celého postupu, takmer vždy veľmi prekvapené, ako prišli o veľkú časť svojich peňazí napriek tomu, že platobnú kartu nikdy nespustili z rúk.

» návrat na obsah

Skimmery, kamery a pinpady

Zlodeji používajú fantasticky prepracované zariadenia, ktoré sú „šité na mieru“ jednotlivým typom bankomatov. Na čiernom trhu je možné nájsť popisy, dokonca aj schémy jednotlivých typov a nim aj uspôsobené zariadenia na čítanie magnetického prúžku. Tie štandardne obsahujú čítacie zariadenie, napájanie a flashovú pamäť, kam sú načítané dáta ukladané. Pamäť je veľmi malá, pretože dáta na karte nedosahujú ani často ani 0,5 KB. Zariadenia majú rôznu „výdrž“, najčastejšie však nie dlhšiu ako 5 – 8 hodín. Zariadenie načítaním údajov z magnetického prúžku však nedokáže zistiť PIN kód karty, ktorý musí užívateľ zadať pre overenie, aby mohol vybrať peniaze z účtu. Na to sú najčastejšie používané miniaturné kamery, najčastejšie čiernobiele, s veľmi nízkym rozlíšením, ktoré zachytávajú proces vypĺňania PIN kódu. Kamery majú rovnako maličkú pamäť a často ešte nižšiu výdrž, pohybuje sa medzi 2 – 4 hodinami. Ako náhrada kamery sú potom používané pinpady (klávesnice), ktoré su uspôsobené tak, že sa pripevnia nad bežnú klávesnicu a pri vypĺňaní údajov zaznamenávajú vyťukávané informácie, pričom rovnako stláčajú tlačidla pod sebou, aby zabezpečili interakciu bankomatu a užívateľa. Zariadenia majú veľkú výdrž, pohybuje sa až k 20 – 24 hodinám a opätovne majú len veľmi malú pamäť, ktorá je však viac než dostatočná aj na niekoľko tisíc záznamov.

» návrat na obsah

Skimmery

Ako som už napísal, sú to zariadenia, ktoré čítajú dáta z magnetického prúžku platobnej karty, ktoré potom uchovávajú vo svojej pamäti. Ich veľkosť je rozličná od typu bankomatu, často je však zariadenie veľké ako zápalkové krabička, zvyšok tvorí najčastejšie plastikový obal, ktorý vypĺňa priestor tak, aby obeť nenadobudla ani štipku podozrenia. Zariadenia bývajú dizajnovo aj technicky veľmi sofistikované, všimnúť si ich vyžaduje v mnohých prípadoch veľmi dobré oko. Zariadenia sa najčastejšie skladajú zo štyroch základných častí. Zariadenie pre snímanie magnetického pásika, batéria, pamäť a plastikový obal. Niektoré zariadenia obsahujú už aj malú kameru, väčšinou tie, ktoré sú určené pre bankomaty, kde má podobná kamera dosah. Vysokosofistikované zariadenia majú aj bluetooth modul, cez ktorý môže zlodej prijímať zosnímané dáta do svojho vreckového počítača, či notebooku.

Zariadenia sú rôznej kvality, záleží hlavne na tom, či je to „hand made“ (ručne vyrobené), alebo sa jedná o výrobok z továrne. Pri tých prvých je veľkosť často dvojnásobná a kvalita prevedenia nižšia. Tie druhé sú naopak dizajnovo veľmi kvalitné, omnoho menšie a často pasujú úplne dokonale. Nechať si vyrobiť podobné zariadenie kdekoľvek v Európe, alebo USA by znamenalo veľké riziko odhalenia a preto sú najčastejšie zariadenia vyrábané v Číne. Lokálne továrne vám na požiadanie dokážu vyrobiť prakticky čokoľvek a cena takéhoto zariadenia sa pohybuje okolo 10 – 50 dolárov za kus. Jedinou „chybičkou krásy“ je fakt, že získať kontakty na takéto továrne vyžaduje znalosť jazyka, preto vznikli rôzne distribučné skupiny, ktoré často pracujú v továrni a zariadenia nielen navrhujú, ale aj predávajú za mnohonásobné ceny.

» návrat na obsah

PinPady

Pinpad je vlastne klávesnica, ktorá slúži ako zberné zariadenie pin kódu ku karte. Je to jedna z najlepších náhrad kamery, ktorej spoľahlivosť sa pohybuje okolo 70% a celé zariadenie je odhalené práve kvôli kamere, ktorú si obeť všimne. PinPad býva dokonalou kópiou originálnej klávesnice, jeho hrúbka je približne dvakrát väčšia ako je platobná karta a dodnes nebolo podobné zariadenie odhalené, alebo zadržané. PinPad má veľkú úspešnosť práve kvôli jeho neuveriteľnej autentičnosti a skvelej funkčnosti. Zariadenie dokáže fungovať dlhý čas a je veľmi spoľahlivé. Jeho najväčším nedostatkom je, rovnako ako u skimmera, potreba mať rozličné typy pre každý typ bankomatu, ako aj jazykovú mutáciu pre každú krajinu. Zariadenia sú vyrábané buď z plastiku, alebo potom z kovu, tie však stoja rádovo niekoľkokrát viac.

Screenshoty PinPadov

» návrat na obsah

Kamery

Šošovka kamery používanej na skimmovanie býva máločo väčšia ako špendlíková hlavička. Tá je potom umiestňovaná tak, aby mala dostatočný dosah na klávesnicu. Záznam z kamery je ukladaný na flashovú pamäť a jej výdrž je maximálne 4 hodiny. Záznam býva vo veľmi nízkom rozlíšení a čiernobiely, aby sa čo najviac zmenšili požiadavky na technické vybavenie. Napriek tomu je záznam dostatočný k tomu, aby dokázal zlodej identifikovať zaznamenaný pin kód. V určitých prípadoch (napríklad ak je bankomat umiestnený v rohu) býva používaná aj veľká kamera s veľmi kvalitným záznamom a dosahom, ktorá býva umiestnená do falošnej krabičky s letákmi, či do akéhokoľvek objektu, ktorý je v blízkosti. V jednom prípade bola kamera umiestnená vo vytvorenej diere v kovovej tyči, ktorá podopierala striešku na ochranu klientov pred dažďom. Nápaditosť zlodejov býva veľká, využívajú každú ponúknutú šancu.

» návrat na obsah

Postup

Aby bol zlodej úspešný, musí vybrať vhodné zariadenie, nájsť bankomat, ktorý navštevuje čo najväčšie množstvo ľudí, ale zároveň taký, kde nebude vystavený záznamu viacerých kamier. Takýchto bankomatov sa dá nájsť mnoho a zlodeji si ich vyberajú s čo najväčšou opatrnosťou. Ak má takýto bankomat vyhliadnutý, zisti si jeho typ (je možné zistiť voľným okom) a pripraví si zariadenie. Niekoľko hodín sleduje ako prichádzajú ľudia a vyberie si najvhodnejší čas na to, aby zachytil „špičku“. Ak má zariadenie s bluetoothovým vysielačom, zdržuje sa často v tesnej blízkosti bankomatu. Ak ho nemá, sleduje zariadenie z diaľky. Len máloktorý zlodej je ochotný opustiť zariadenie, pretože by o neho mohol poľahky prísť. Takto je schopný reagovať na vzniknutú situáciu. Zariadenia nemajú dlhú prevádzkovú dobu a nebývajú umiestnené viac ako jednu až dve hodiny. Len vo veľmi výnimočných prípadoch na menej frekventovaných miestach bez kamier (napríklad na dedinách) sú vyberané zariadenia s dlhou prevádzkovou dobou a zlodej si poň chodí v pravidelných intervaloch. Zariadenia sú prichytávané k bankomatom špeciálnymi epoxidovými lepidlami, ktoré schnú do jednej minúty, ale umožňujú sňať zariadenie bez poškodenia a hlavne bez povšimnutia. Najobľúbenejším lepidlom je PC-MetalT v cene 8 dolárov. Lepidlo je používané na dočasnú fixáciu častí počítača (napríklad dosku k bedničke, aby bolo možné ľahšie našraubovať šrauby). Keď má zlodej pocit, že by mohlo zariadenie byť objavené, alebo že má dosť odchytených údajov, zariadenie opatrne sníme a odíde. Poškodené obete sa dozvedia o krádeže ich údajov z platobnej karty až o niekoľko hodín, prípadne dní, keď sú z nej vybrané prostriedky najčastejšie v úplne inej krajine.

» návrat na obsah

Dumpy

Čo však urobí zlodej s údajmi, ktoré získal z karty? Ako prvé ich musí dostať zo zariadenia. Najčastejším spôsobom je miniUSB rozhranie, ktoré tieto zariadenia majú a jednoduchý softvér, ktorý prečíta obsah flash pamäte. Rovnaký postup je aj v prípade PinPadu, alebo kamery. Keď už má údaje v počítači, začne ich preväzovať, teda začne k získaným údajom dopĺňať získané PIN kódy. Keďže sa však nachádza v krajine, v ktorej údaje odcudzil a nemieni sa vzdať dobrého miesta, ponúkne údaje na čiernom trhu, alebo ich pošle komplicovi/com, ktorí operujú v rozličných krajinách.

Tieto krajiny sú vyberané podľa niekoľkých kritérií. Tým najhlavnejším je podpora odcudzených kariet. Mnoho krajín má zablokovanú možnosť výberu peňazí z kariet z určitých krajín, napríklad aj u nás je problém vybrať peniaze z niektorých Amerických bánk. Zlodeji tieto fakty dobre vedia a presne vedia, ktoré karty fungujú v ich krajinách. Najobľúbenejšou destináciou je preto Thajsko, kde Americké karty fungujú, pretože je to najnavštevovanejšia a najobľúbenejšia destinácia Amerických turistov. Druhou podmienkou je fungujúci starý systém, aby bolo možné obísť čipovú ochranu. Krajín bez chip&pin ochrany je prevažujúce množstvo, takže výber je celkom jednoduchý. Posledným kritériom je čo najvyšší možný výber, teba aby nebolo možné vybrať len nižšiu hotovosť.

Ak nie sú zosnímané informácie predávané na čiernom trhu, ale využíva ich dobre organizovaná skupina, tak sa doba od zosnímania údajov po výber peňazí v inej krajine pohybuje v rozsahu 4 – 8 hodín.

» návrat na obsah

Napaľovanie kariet

Po úspešnom „love“ má zlodej k dispozícii záznamy, ktoré musí dostať späť na kartu, aby ju mohol použiť. Údaje sú v špecifiky vygenerovaných reťazcoch, ktoré sa označujú aj ako track1, 2 a 2 plus (alebo tiež se). Tieto reťazce identifikujú platobnú kartu a umožňujú systému overiť, o ktorý účet sa jedná, aby mu mohol vydať vyžiadané prostriedky a tie z účtu odpísať. Ako ochrana je používaný PIN kód a pri v niektorých krajinách aj čip. Zlodeji sa však zameriavajú na krajiny, kde čipová ochrana ešte nefunguje, alebo je možné používať aj karty bez tejto ochrany (nie tak úplne, ale čipom sa budem venovať neskôr v článku). Na napaľovanie platobných kariet existuje mnoho zariadení, najobľúbenejším je však msr206, ktorý umožňuje zapisovanie na všetky typy kariet a zároveň všetky tri tracky. Zariadenie je možné legálne kúpiť v špecializovaných obchodoch, kde sú však vyžadované informácie o totožnosti (väčšinou ID (občiansky preukaz)), preto sa najviac nakupujú cez eBay. K tomu je potrebné kúpiť určitý typ plastikových kariet. Na čiernom trhu je možné kúpiť prázdne karty priamo z výrobne, ktoré sú na nerozoznanie od originálnych. Obsahujú všetky bežné ochranné prvky, vrátane holografických vodoznakov. Nakoniec je potrebný ešte softvér, ktorý je síce bežnou súčasťou zariadenia, ale jeho funkcie sú značne obmedzené. Pre tieto účely je vytvorených niekoľko rôznych aplikácií, ktoré jednotlivé tracky dokážu generovať z bežných informácií uvedených na karte. Aby ste pochopili ako je to možné, musíte poznať jednotlivé zápisy

Track 1
B4888603170607238^Head/Potato^050510100000000001203191805191000000

Track 2
4888603170607238=05051011203191805191

Track 2 plus/se (Track 3)
014888603170607238==0401000000000000003000000000000007020===0=

Napriek tomu, že sa vám zápisy zdajú byť nezmyselné, majú svoju hierarchiu, ktorú si teraz vysvetlíme.

Základným zápisom je Track 1, ktorý je využívaný pre zápis osobných kariet, teda kariet vydaných na konkrétnu osobu. Reťazec sa skladá z niekoľkých častí, ktoré su veľmi jednoduché.
B4888603170607238 – je začiatok reťazca, obsahuje písmeno B, ktoré obsahuje každý Track 1 u ktorejkoľvek spoločnosti (Visa, AMEX, atď.) a za ním nasleduje číslo karty. Presne to číslo, ktoré máte vytlačené na karte. Strieškami oddelený reťazec ^Head/Potato^ obsahuje priezvysko a meno majiteľa karty. Za ním nasleduje dlhý reťazec 050510100000000001203191805191000000, ktorý začína štyrmi číslicami. Tieto čísla značia expiračnú dobu karty, teda do kedy je platná a je v tvare YYMM, teda rok a mesiac expirácie. Ďalším trojčíslom je servisný kód, v tomto prípade 101. Zvyšný časť reťazca je vygenerovaný k príslušnej banke.

Track 2 je trošku ochudobnený o informácie, vydáva sa hlavne spoločnostiam a je to starší spôsob zapisovania údajov na kartu. Celý reťazec sa skladá opäť z niekoľkých častí. Tou prvou je číslo karty 4888603170607238, oddelené znamienkom =, nasledované reťazcom 05051011203191805191, ktorý opäť v prvých štyroch číslach reprezentuje expiračnú dobu karty v tvare YYMM, a trojmiestným číslom, ktoré reprezentuje servisný kód, v tomto prípade 101. Zvyšná časť je opäť vygenerovaný kód. Tento systém funguje len u kariet MasterCard a Visa. Napríklad American Express používa rozdielne Track 1 a 2 zápisy.

Track 1
B3700 008844 22066^BUSH/G ^0911031209219

Track 2
370000884422066=0911031209219

AMEX má len 15 čísel, teda nie 16 ako Visa a MasterCard. Ako môžete vidieť, Track 1 ja opätovne rovnaký ako u Visa a MasterCard. Prvá časť reťazca „B3700 008844 22066“ reprezentuje číslo karty spolu s písmenom B, nasledovaný reťazcom ohraničeným strieškami ^BUSH/G ^, ktorý reprezentuje priezvisko a prvé písmeno z mena, ukončený reťazcom 0911031209219, ktorého prvé štyri čísla reprezentujú expiračnú dobu karty, opäť v tvare YYMM a nakoniec samotný vygenerovaný kód, ktorý sa nijak neupravuje pri Tracku 2.

Aby som sa však vrátil ešte ku kartám Visa a MasterCard, Track 3 reprezentuje reťazec začínajúci 014888603170607238, čo predstavuje číslo karty spolu s pridaným číslom 01 pred číslo karty, následne oddelený dvomi znakmi ==, a vygenerovaným kódom 0401000000000000003000000000000007020, ktorý je možné dopočítať, jeho zverejneniu sa však vyhnem a nakoniec je ukončený ===0=.

Pravdepodobne ste si všimli, že som spomínal typy kariet. Tie vymysleli spoločnosti vydávajúce karty už ich v začiatkoch, aby odlíšili jednotlivých zákazníkov. Dnes napríklad spoločnosť Visa ponúka niekoľko typov kariet. Najzákladnejším rozdelením je na debetnú a kreditnú. Potom je to podľa typu a to Electron, Classic, Gold, Platinum, Signature, Business. Tieto informácie, ako aj banku, ktorá kartu vydala, číslo na servisné stredisko, krajinu pôvodu, je možné zistiť z prvých 6 čísel uvedených na platobnej karte. Podľa týchto informácií sa potom určuje aj hodnota kariet a samozrejme sa dá určiť aj veľkosť finančných prostriedkov, ktoré karta môže poskytnúť. Ak sa napríklad jedná o kreditnú Visa Business kartu je pravdepodobné, že z nej bude môcť byť vybraných niekoľko tisíc Eúr/Dolárov. Stav konta je však hodne odhadovaný, nie zaručený. Existujú techniky a možnosti, ako sa dostať k presným informáciám, ale o nich až neskôr.

Zaiste ste si všimli, že som preskočil ozrejmenie servisného kódu. Ten určuje, či sa jedná o kartu, ktorá vyžaduje overenie za pomoci čipu. Ak je servisný kód 101, jedná sa o starší typ karty a overenie čipom nie je podporované. Ak je servisný kód 201, overenie čipom je podporované, nie je však nutne vyžadované. Aby bolo nutné overenie čipom, musí aj zariadenie, ktoré kartu spracováva, podporovať overenie čipom.

» návrat na obsah

Dumpy bez pinu

Väčšiu časť odcudzených kariet tvoria tie bez PIN kódu. Sú však minimálne rovnako populárne, pretože je možné s nimi nakupovať rôznorodý tovar. Tieto karty sú získavané najčastejšie v reštauráciách, obchodoch a hoteloch, kde klienti pustia kartu z ruky a umožnia personálu zaplatiť ich účet. Potom už len majiteľovi karty donesú podpísať účet a ten väčšinou nemá žiadnu vedomosť o tom, že bol okradnutý. Často sú zlodeji natoľko trúfalí a vychytralí, že karty „skimmujú“ priamo pred obeťami, ktoré si takéto praktiky vôbec nevšimnú, alebo ich jednoducho nevedia prisúdiť zlému úmyslu, lebo ich nepoznajú.

Dumpy (záznam z platobnej karty) sú následné takmer vždy predávané na čiernom trhu, kde ich nakupujú osoby, ktoré majú veľmi dobre zmapovanú situáciu napríklad vo svojej krajine, kde robia závratné nákupy v hodnote mnohých miliónov Eúr/Dolárov. Na nákupy sú však používané biele kone, teda osoby, ktoré dostanú inštrukcie čo majú nakúpiť a za túto službu inkasujú časť získaných prostriedkov, väčšinou však veľmi nízku. V susedných Čechách sa podarilo podobný prípad odhaliť pred niekoľkými rokmi, keď Thajské občianky nakúpili tovar v hodnote niekoľkých miliónov korún a pokúsili sa s ním odcestovať späť do krajiny.

» návrat na obsah

Čipy

Nové čipy, ktoré majú chrániť karty pred odcudzením boli prelomené už v začiatkoch, keď sa objavili. Napriek tomu, získať plastikové karty s čipmi, zariadenie pre dekódovanie čipu a hlavne pre napaľovanie na čip je priveľmi nákladné, pre zlodejov sa viac oplatí spolupracovať so zahraničnými skupinami, ktoré im dávajú ich podiel.

Zariadenie na načítavanie dát z čipu sa volá ACR38. Je bežne a legálne dostupné a nevyžaduje žiadne dodatočné overenie totožnosti pri predaji. Problém je, že zariadenie je dosť veľké a nešikovné, nie je ho možné použiť pri skimmovaní. V Číne si však poradili aj s týmto problémom a vzniklo kombinované zariadenie na čítanie aj zapisovanie údajov na čip. Softvér, ktorý je k nemu dodávaný dokáže dáta za/dekryptovať a tak je táto ochrana prakticky zbytočná. I tak je však veľký problém s cenou zariadenia a jeho získaním. Výrobcovia skimmerov sa taktiež prispôsobili a pri vychádzaní karty tento proces spomalia natoľko, aby bolo možné údaje z čipu načítať a uložiť. Cena zariadení je približne 8x vyššia, ako bežného skimmera. Karty s informáciami z čipu sú preto približne 4-6x drahšie, ako tie bez.

Príklad získaných dát z čipu a magnetického pásiku

Čip (Track 2)
4974101234567890=0810221xxxxxx4060000
4970891234567890=0909221xxxxxx3000000

Magnetický pásik (Track 2)
4974101234567890=0810221xxxxxx0210000
4970891234567890=0909221xxxxxx3370000

» návrat na obsah

Čierny trh

Čierny trh je miesto, kde sa stretávajú rôzni ľudia a nakupujú, či predávajú tovar, ktorý nie je legálny, poprípade bude používaný na ilegálne účely. Na internete je takýchto miest niekoľko, od tých pre menej skúsených a znalých, až po tie, kde sa pohybuje elita. Skimming patrí skôr do tej druhej časti a často je možné nájsť skupiny, ktoré túto činnosť vykonávajú nerušene niekoľko rokov. Na čiernom trhu je možné kúpiť prakticky čokoľvek, čo sa týka bezpečnosti akýchkoľvek technických zariadení, najzaujímavejšie sú však návody, informácie, či schémy. Dostupné sú napríklad technické výkresy niektorých vybraných bankomatov, či kompletný technický popis platobnej karty.

Taktiež je možné nakúpiť mnoho pomôcok, ktoré bude skimmer potrebovať. Medzi základné vybavenie patri skimmovacie zariadenie. Jeho cena sa pohybuje okolo 1 000 až 5 000 dolárov za kus. Cena je samozrejme rôzna od prevedenia, typu, kvality a schopností zariadenia. Plastový PinPad vyrobený na zákazku podľa modelu a jazykovej mutácie stojí od 1500 do 2500 dolárov za kus. Celokovový PinPad s vymeniteľnými tlačidlami vyjde na 6000 dolárov za kus. Za kamery sa platia rozličné sumy, väčšinu kamier však možné kúpiť v bežnom Geek, alebo Gadgets internetovom obchode a preto je ich predaj väčšinou ojedinelý.

Za prázdnu plastikovú kartu bez podtlače zaplatíte od 10 dolárov za kus, za embosovanú od 30 dolárov za kus. Za platinové, zlaté a ďalšie špecifické karty sa platí od 50 dolárov za kus. Holografické karty (obsahujú holografický ochranný znak) zaplatíte od 80 dolárov za kus. Ceny sú samozrejme upravované podľa počtu objednaných kusov.

Dumpy (odcudzené záznamy platobných kariet) sú tým najžiadanejším artiklom po bežných informáciách z platobnej karty získaných z internetu. Karty sú predávané podľa niekoľkých kritérií. Prvým je, či obsahujú PIN kód. Následne sú rozdelené podľa typu a krajiny.

Takže napríklad, ak karta obsahuje PIN kód, je typu Gold a pochádza z Citibank z USA, jej cena sa bude pohybovať medzi 300 až 500 dolármi za kus. Ak karta nemá PIN kód, jej cena bude niečo málo ze 50 dolárov za kus. Najlacnejšie sú karty pochádzajúce z USA typu debit classic bez PIN kódu. Ich cena začína na 5 dolárov za kus, pričom ak PIN kód obsahuje, jej cena bude približne 50 dolárov za kus.

Samozrejme funkčnosť nedokáže nik zaručiť, pretože karta môže byť ohlásená ako kradnutá, poprípade nemá jej majiteľ dostatok voľných prostriedkov na účte. To umožnilo ďalších podnikavcom vytvoriť systém pre overenie všetkých potrebných informácií, vrátane sumy, ktorá je k na účte k dispozícii. Za overenie jednej karty sa platí suma okolo 5 dolárov pri overení funkčnosti karty a 15 dolárov pri zistení zostatku na karte. Samozrejme, ak zákazník kúpi dopredu väčší obnos, je suma markatne rozdielna.

Zariadenia pre napaľovanie informácií na kartu stojí od 500 dolárov viac, v prípade msr206 je to dosť otázka aj softvéru, ktorý je poskytovaný spolu so zariadením. Špičkou na čiernom trhu je Exeba, ktorá podporuje všetky dostupné čítacie a zapisovacie zariadenia, dokáže generovať Tracky z ktoréhokoľvek vybraného, či iba z údajov z karty. Cena poslednej verzie sa pohybuje okolo 500 dolárov. Zariadenie na čítanie čipu ACR38 sa pohybuje v sume okolo 100 dolárov, záleží však od typu, sú aj lacnejšie. Čínske zariadenie pre plnú prácu s údajmi na čipe, vrátane za/dekódovania informácií, čítania a zapisovania, vás vyjde približne 8000 dolárov za kus. Skimmovacie zariadenie s podporou načítavania informácií z čipu vás vyjde rovnako na približne 8000 dolárov.

Informácií o čiernom trhu je minimálne na hrubú knihu, preto sa im budem venovať v osobitnom článku v blízkej budúcnosti.

» návrat na obsah

Ako sa chrániť

Prevencia je samozrejme najlepšou ochranou. V prvom rade nedávajte svoju platobnú kartu do rúk nikomu inému, komu nedôverujete. Vždy ostaňte so svojou platobnou kartou a v podniku nikdy nevkladajte kartu do púzdra s účtom, radšej obsluhu poproste, aby priniesla prenosný POS terminál. Dávajte celý čas pozor, či s vašou kartou nenakladá inak, ako by mal (napríklad si neprechádza ňou pri opasku, alebo ju nedáva niekam pod pult). Takéto praktiky sú veľmi bežné. PIN kód zadávajte zásadne tak, aby ste si druhou rukou zakrývali tlačítka, poprípade obsluhu poproste aby sa otočila. V obchode sledujte celý proces platby a nedovoľte, aby predavač/ka prešla vašou kartou pod pultom. Pri bankomatoch buďte veľmi obozretný a pri najmenšom podozrení využite iný bankomat, poprípade sa ho pokúste prezrieť, či nenájdete náhodou uvoľnené spoje, alebo hýbajúce sa časti. Ak sa vám podarí objaviť infikovaný bankomat, okamžite volajte políciu a nevzďaľujte sa od bankomatu. Zlodej je pravdepodobne na blízku a bude striehnuť na prvý moment, kedy bude môcť zbaliť celé zariadenie. Ak ste aj bankomat použili a zariadenie ste objavili až potom, neľakajte sa. Pokojne nahláste celú situáciu polícii a potom zablokujte svoju platobnú kartu na čísle, ktoré vám banka dala pri jej vydávaní. Zlodej aj pri použití bluetooth modulu nestihne karty dopraviť svojim komplicom skôr, ako vy budete mať zablokovanú kartu. Ak je karta zablokovaná, bankomat kartu zadrží a zlodejovi vznikne minimálne škoda.

» návrat na obsah

Záver

Ako môžete vidieť, skimming je veľmi drahý, ale veľmi výnosný biznis. Ak je zločinecká skupina dostatočne dobre zohratá, dokážu za jeden deň získať okolo 100 klonov platobných kariet, z ktorých získavajú v priemere 500 Eúr. Ak sa im darí dlhšiu dobu a dávajú si pozor, po niekoľkých rokoch odchádzajú do finančného dôchodku a väčšinou peniaze investujú do spoločností, ktoré sa snažia banky a ich klientov chrániť pred skimmingom. Za posledné dva roky bolo chytených len veľmi málo osôb, ktoré sa profesionálne živia skimmovaním.

» návrat na obsah

Článok napísaný pre Zive.sk.