Hackers zijn erin geslaagd het versleutelde betalingsverkeer met PINcodes van onder andere creditcards te kraken, waardoor het gehele bancaire transactie systeem ontregeld zou kunnen raken. Volgens onderzoeker Bryan Sartin zitten de aanvallers achter de miljoenen dollars die in Amerika via geldautomaten zijn opgenomen. "We zien geheel nieuwe aanvallen die een jaar geleden alleen academisch mogelijk waren. Wat we nu zien is dat mensen meteen voor de bron gaan en versleutelde PINblokken stelen en complexe manieren gebruiken om ze te ontsleutelen."

Voorheen waren aanvallers alleen in staat om de PINcodes te bemachtigen via phishingaanvallen, het manipuleren van kaartlezers of het plaatsen van verborgen camera's. Was de PINcode ingevoerd en versleuteld, dan werd altijd aangenomen dat het veilig was totdat de bank aan de andere kant de informatie ontsleutelde. De nieuwe aanvallen halen deze theorie onderuit en kunnen verstrekkende gevolgen hebben. Tijdens de creditcardroof bij TJX vroegen de aanvallers andere criminelen al om hun hulp bij het ontsleutelen van de PINcodes. Niemand had echter vermoed dat de aanvallers de PIN encryptie probeerden te kraken.

Sartin, werkzaam voor Verizon, werkte mee aan een rapport over beveiligingsincidenten en datalekkages. Welke bedrijven getroffen zijn en hoe groot de schade is, is niet bekend gemaakt.

Consumenten de dupe
De aanval heeft met name gevolgen voor consumenten, omdat het de aanvallers direct geld van rekeningen en accounts laat opnemen. In tegenstelling tot fraude met creditcards, waarbij de consument niet aansprakelijk is, is het in dit geval aan de consumenten om te bewijzen dat hij of zij het geld niet heeft opgenomen. En dat is lastig, aangezien de banken vaak niet weten dat er een aanval heeft plaatsgevonden. Sommige van de aanvallen hebben het op onversleutelde PINcodes voorzien, die tijdens autorisatie proces in de geheugenbank wachten. Bij de meest complexe aanvallen gaat het om versleutelde PINs.

Hardware Security Module
Het probleem ontstaat door het gebruik van een hardware security module (HSM), een apparaat dat op de switches en netwerken van de bank aanwezig is en de PINcodes van de geldautomaat doorstuurt naar de verantwoordelijke financiële instellingen. De PINcodes gaan onderweg langs meerdere HSMs, die elk weer anders beheerd en geconfigureerd worden. Bij elk switching-punt wordt de PINcode weer ontsleuteld en opnieuw versleuteld met de key van het volgende onderdeel. "De dieven weten de HSM te misleiden, zodat die de encryptiesleutel afstaat. "Dit komt mogelijk door een verkeerde configuratie van de HSM of kwetsbaarheden die veroorzaakt worden door de aanwezigheid van onnodige functies in het apparaat", zo laat Sartin weten.

Zodra aanvallers één PINblock hebben ontsleuteld, is het kinderspel om de rest van de PINblocks op het netwerk te ontsleutelen. Wat betreft de aanvallen op de geheugenbank, is er al malware in omloop die de informatie kan stelen. "De slachtoffers zien het niet. Ze vertrouwen alleen op anti-virus om dingen te detecteren die er niet horen te zijn. Maar ze zoeken niet naar een 30-gigabyte groot bestand op het systeem." Om het probleem op te lossen moet het systeem herontworpen worden, maar dat zou meer kosten dan de banken op dit moment willen uitgeven, zegt onderzoeker Graham Steel.