Topic: Как хакеры ломают банковские chip-and-pin карты (Read 786 times)
лишняя паника, службы безопасности борятся с этим, и успешно
Скрытие новой защиты никак не гарантирует безопасность системы. Инженер который провернул эту схему очень сообразителен, и довольно смел чтобы со своими умениями ещё и банки грабить.
Quote
По данным правоохранительных органов, хакеры модифицировали порядка 40 банковских карт, успели осуществить более 7000 транзакций и похитили около 680 000 долларов.
Это где ж таких богатых жертв подобрали с целью модификации карт?А далеко ходить не надо, люди сами незадумываясь эту информацию предоставляют в соц сетях
Фигня какая-то, давно существуют наклейки на контактную площадку с чипом. Устарела сама архитектура, банкам пора переходить на Bitcoin)))
https://www.youtube.com/watch?v=Ks0SOn8hjG8
https://www.youtube.com/watch?v=Ks0SOn8hjG8
Quote
По данным правоохранительных органов, хакеры модифицировали порядка 40 банковских карт, успели осуществить более 7000 транзакций и похитили около 680 000 долларов.
Довольно приличное количество средств было на каждой карте в среднем, исходя из общей суммы похищенных средств. Это где ж таких богатых жертв подобрали с целью модификации карт? А нн проще было пин у жертвы сразу узнать и не возиться с паяльником?
В таком случае жертва сразу звонит в банк и блокирует карту. А так карта пропала и пропала, зделаем новую. Но никто не в курсе что старая тоже работает 
Всего 40 карт, и столько транз. Значит сабж использовали многократно, заливали туда дампы. Но в статье об этом ни слова.
Quote
К счастью, в наши дни баг, которым воспользовались смекалистые преступники, уже был исправлен, во всяком случае, в большинстве стран Европы. Исследователи отказались раскрывать в своем отчете подробности о новой защите EMV, по понятным причинам
То, что он исправлен вопрос безопасности не закрывает, а откладывает на неопределённый срок, в течении которого хакера будут пытаться найти новый.А нн проще было пин у жертвы сразу узнать и не возиться с паяльником?
В таком случае жертва сразу звонит в банк и блокирует карту. А так карта пропала и пропала, зделаем новую. Но никто не в курсе что старая тоже работает
А нн проще было пин у жертвы сразу узнать и не возиться с паяльником?
Французы рассказали о том, как хакеры ломают банковские chip-and-pin карты
https://xakep.ru/2015/10/22/82648/
Французские исследователи из École Normale Supérieure (Высшей нормальной школы) опубликовали подробности расследовании инцидента, случившегося в 2011 году. Тогда группа хакеров сумела похитить у пользователей французских банков более 680 000 долларов, обманув систему защиты банковских EMV-карт. Исследователи рассказали, каким образом злоумышленники сумели это проделать.
В 2011 году расследованием хищения денег у клиентов банков, разумеется, занималась полиция. По данным правоохранительных органов, хакеры модифицировали порядка 40 банковских карт, успели осуществить более 7000 транзакций и похитили около 680 000 долларов.
Тогда, в поисках преступников, правоохранительные органы собрали IMSI-номера устройств, которые «засветились» в местах, где злоумышленники пользовались ворованными картами. Затем полиция сопоставила IMSI-номера с SIM-картами и временем происшествий. В результате этих изысканий была сначала задержана 25-летняя женщина, а затем четверо ее подельников. Среди них был и инженер, который придумал схему взлома EMV-карт, которую исследователи теперь называют одним из самых запутанных и хитрых фраудов в истории.
В 2011 году команда École Normale Supérieure проводила криминалистический анализ улик, помогая полиции. Именно этот отчет исследователи обнародовали 20 октября 2015 года.
Так как украденные карточки являлись уликами, эксперты не могли попросту разобрать их и «посмотреть, что внутри». Вместо этого пришлось прибегнуть к помощи рентгена и микроскопа. Также команда ученых определила, как ведет себя чип во время использования, задействовав read-only программы, чтобы проверить, какую информацию карта сообщает PoS-терминалу.
Согласно опубликованному отчету, хакеры сумели реализовать man-in-the-middle атаку, внедрив в оригинальный чип карточки второй, самодельный чип, получивший название FUN или FUNcard. Из-за этой модификации толщина чипа увеличилась с 0,4 мм до 0,7 мм, однако карта все равно проходила в PoS-терминал, пусть и с некоторым трудом.
Толщина обычной карты против толщины модифицированной
Злоумышленники воспользовались известным багом в системе сhip-and-PIN карт. Уязвимость в протоколе, с помощью которого карта общается с ридером, была найдена еще в 2006 году, баг позволяет атакующему использовать карточку, даже не зная PIN-кода.
Обычная EMV-транзакция осуществляется в три этапа: аутентификация карты, верификация владельца карты, авторизация транзакции. В случае использования видоизмененной преступниками карты, оригинальный чип позволял ей пройти аутентификацию. Однако, на этапе авторизации владельца карты, PoS-система все равно просит ввести PIN-код. В случае, который разбирали специалисты Высшей нормальной школы, хакеры могли вводить любой PIN-код, — их самодельный чип вступал в игру и заставлял систему поверить, что любой код верен.
На рентгене хорошо видно использование разных материалов. Оригинальный чип окрашен зеленым.
«Атакующие перехватывали запрос PIN-кода и отвечали, что он верен, каким бы код ни был. В этом заключалось ядро их атаки», — пишут исследователи.
То есть хакеры действовали по следующей схеме. Они воровали банковские карточки, доставали из них чип, интегрировали в него FUNcard (что, по словам исследователей, требовало «умения, терпения и очень тонкой работы»), затем вставляли полученную модификацию в «тело» другой карты и отправлялись по магазинам и к банкоматам, опустошая чужие счета.
К счастью, в наши дни баг, которым воспользовались смекалистые преступники, уже был исправлен, во всяком случае, в большинстве стран Европы. Исследователи отказались раскрывать в своем отчете подробности о новой защите EMV, по понятным причинам.
https://xakep.ru/2015/10/22/82648/
Французские исследователи из École Normale Supérieure (Высшей нормальной школы) опубликовали подробности расследовании инцидента, случившегося в 2011 году. Тогда группа хакеров сумела похитить у пользователей французских банков более 680 000 долларов, обманув систему защиты банковских EMV-карт. Исследователи рассказали, каким образом злоумышленники сумели это проделать.
В 2011 году расследованием хищения денег у клиентов банков, разумеется, занималась полиция. По данным правоохранительных органов, хакеры модифицировали порядка 40 банковских карт, успели осуществить более 7000 транзакций и похитили около 680 000 долларов.
Тогда, в поисках преступников, правоохранительные органы собрали IMSI-номера устройств, которые «засветились» в местах, где злоумышленники пользовались ворованными картами. Затем полиция сопоставила IMSI-номера с SIM-картами и временем происшествий. В результате этих изысканий была сначала задержана 25-летняя женщина, а затем четверо ее подельников. Среди них был и инженер, который придумал схему взлома EMV-карт, которую исследователи теперь называют одним из самых запутанных и хитрых фраудов в истории.
В 2011 году команда École Normale Supérieure проводила криминалистический анализ улик, помогая полиции. Именно этот отчет исследователи обнародовали 20 октября 2015 года.
Так как украденные карточки являлись уликами, эксперты не могли попросту разобрать их и «посмотреть, что внутри». Вместо этого пришлось прибегнуть к помощи рентгена и микроскопа. Также команда ученых определила, как ведет себя чип во время использования, задействовав read-only программы, чтобы проверить, какую информацию карта сообщает PoS-терминалу.
Согласно опубликованному отчету, хакеры сумели реализовать man-in-the-middle атаку, внедрив в оригинальный чип карточки второй, самодельный чип, получивший название FUN или FUNcard. Из-за этой модификации толщина чипа увеличилась с 0,4 мм до 0,7 мм, однако карта все равно проходила в PoS-терминал, пусть и с некоторым трудом.
Quote
Толщина обычной карты против толщины модифицированной
Злоумышленники воспользовались известным багом в системе сhip-and-PIN карт. Уязвимость в протоколе, с помощью которого карта общается с ридером, была найдена еще в 2006 году, баг позволяет атакующему использовать карточку, даже не зная PIN-кода.
Обычная EMV-транзакция осуществляется в три этапа: аутентификация карты, верификация владельца карты, авторизация транзакции. В случае использования видоизмененной преступниками карты, оригинальный чип позволял ей пройти аутентификацию. Однако, на этапе авторизации владельца карты, PoS-система все равно просит ввести PIN-код. В случае, который разбирали специалисты Высшей нормальной школы, хакеры могли вводить любой PIN-код, — их самодельный чип вступал в игру и заставлял систему поверить, что любой код верен.
Quote
На рентгене хорошо видно использование разных материалов. Оригинальный чип окрашен зеленым.
«Атакующие перехватывали запрос PIN-кода и отвечали, что он верен, каким бы код ни был. В этом заключалось ядро их атаки», — пишут исследователи.
То есть хакеры действовали по следующей схеме. Они воровали банковские карточки, доставали из них чип, интегрировали в него FUNcard (что, по словам исследователей, требовало «умения, терпения и очень тонкой работы»), затем вставляли полученную модификацию в «тело» другой карты и отправлялись по магазинам и к банкоматам, опустошая чужие счета.
К счастью, в наши дни баг, которым воспользовались смекалистые преступники, уже был исправлен, во всяком случае, в большинстве стран Европы. Исследователи отказались раскрывать в своем отчете подробности о новой защите EMV, по понятным причинам.
Jump to: