Criminelen fraudeerden voor tonnen met EMV-creditcards
Criminelen zijn er op een zeer slimme manier in geslaagd om voor tonnen te frauderen met creditcards die van een EMV-chip zijn voorzien. De EMV-chip is de opvolger van de magneetstrip en moet het lastiger voor criminelen maken om te frauderen, bijvoorbeeld door het skimmen van betaalpassen.
Toch is ook de chip niet immuun voor aanvallen, zo blijkt uit onderzoek (pdf) van Franse onderzoekers waar Wired over bericht. Vier jaar geleden werden een dozijn creditcards in Frankrijk gestolen, die vervolgens in België werden gebruikt. Iets dat onmogelijk zou moeten zijn zonder de pincode van de kaarthouders. Dit leidde tot politie-onderzoek en uiteindelijk de aanhouding van verschillende bendeleden.
Uit het onderzoek dat volgde en waarvoor de onderzoekers röntgenstralen gebruikten bleek dat de criminelen een tweede chip op de EMV-chip van de gestolen creditcards hadden aangebracht. Via deze chip konden ze de verificatie van de pincode omzeilen, aangezien elke ingevoerde pincode werd geaccepteerd. Daarbij maakten de criminelen gebruik van het feit dat de authenticatie van de pincode destijds was losgekoppeld van de transactieverificatie van EMV-betaalkaarten.
Transactie
Een normale EMV-transactie bestaat uit drie stappen. Authenticatie van de betaalkaart, verificatie van de kaarthouder en als laatste de autorisatie van de transactie. Tijdens de transactie mocht de originele chip op de aangepaste betaalkaart gewoon op de authenticatiecontrole reageren. Bij de verificatie van de kaarthouder vroeg de betaalautomaat om de pincode van de gebruiker. De crimineel vulde vervolgens een willekeurige code in.
Op dat moment werd de aangebrachte chip actief en liet de betaalautomaat weten dat de pincode correct was, die dat accepteerde. Tijdens de laatste transactie-autorisatie gaf de tweede chip de data tussen de betaalautomaat en de originele eerste chip door. Op deze manier wist de bende voor zo'n 600.000 euro met de aangepaste creditcards te stelen. Uiteindelijk liepen de criminelen tegen de lamp omdat ze steeds op dezelfde plekken de gestolen creditcards gebruikten.
Je hoeft dus alleen de lokale automaat voor de gek te houden en je transactie wordt uigevoerd...
Wat mij betreft moet de kaart + houder een signature opleveren die met de transactie mee gaat.
Hiermee kan later ook nog eens een verificatie gedaan worden, en was deze truuk dus niet gelukt... (signature fout door willekeurige code)
Je hoeft dus alleen de lokale automaat voor de gek te houden en je transactie wordt uigevoerd...
Wat mij betreft moet de kaart + houder een signature opleveren die met de transactie mee gaat.
Hiermee kan later ook nog eens een verificatie gedaan worden, en was deze truuk dus niet gelukt... (signature fout door willekeurige code)
Banken en credit card maatschappijen vinden het veel belangrijker dat klanten kunnen betalen, waar en wanneer ook ter wereld. De kans dat een realtime signature verificatie met jouw lokale bank niet lukt wanneer jij in die vage winkel in Thailand staat is best aanzienlijk.
De hoeveelheid mislukte transacties en bijbehorende ontevreden klanten wegen in dit geval voor de betaal-providers zwaarder dan de fraude die het met zich mee brengt.
Ik zeg niet dat het goed is. Het is wel de reden.
Maar het hek is nu van de dam, dus zullen ze er iets op moeten vinden.
Het feit dat er staat "destijds was losgekoppeld " suggereert dat dit probleem verholpen is.
Je hoeft dus alleen de lokale automaat voor de gek te houden en je transactie wordt uigevoerd...
Het feit dat er staat "destijds was losgekoppeld " suggereert dat dit probleem verholpen is.
Je hoeft dus alleen de lokale automaat voor de gek te houden en je transactie wordt uigevoerd...
Wat mij betreft moet de kaart + houder een signature opleveren die met de transactie mee gaat.
Hiermee kan later ook nog eens een verificatie gedaan worden, en was deze truuk dus niet gelukt... (signature fout door willekeurige code)
Deze werkwijze is al een tijd bekend, o.m. door onderzoek van Cambridge University. De transactie systemen van Nederlandse kaartuitgevers controleren op de samenhang tussen transactie certificaat en de geslaagde pincontrole. Niet alle banken wereldwijd hadden dat destijds even goed op orde.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
