Банкоматы и скимминг!

Один из видов мошенничества с пластиковыми картами является скимминг , при котором используется скиммер - инструмент злоумышленника для считывания, например, магнитной дорожки кредитной карты. Скиммер представляет из себя устройство со считывающей магнитной головкой, усилителем-преобразователем, памятью и переходником для подключения к компьютеру. Скиммеры могут быть портативными, миниатюрными. При помощи электронного устройства (скиммера), устанавливаемого на банкоматы для считывания информации с кредитных карт, проходящих через эти банкоматы, а также накладной клавиатуры или мини-камеры мошенник получает доступ к карточному счету жертвы и может снимать с него любые суммы.
Современные скиммеры очень малы. Например, скиммеры, которые используются в ресторанах (и не только), раза в два меньше небольшого сотового телефона, могут одновременно хранить данные сотен магнитных полос.

Когда официант берет карту и уносит ее, чтобы сделать платеж, он может незаметно провести ею по скиммеру, спрятанному в руке. Бывают плоские скиммеры, которые вообще незаметны и просто кладутся в папку со счетом. Наиболее часто скимминг используется мошенниками при снятии клиентом денег через банкомат.

Немного теории: как устроена кредитка.

Кредитная карточка - это пластиковый прямоугольник с нанесенными на нем:

Изображением

Голограммой

• Полосой с подписью

  Иногда - фотографией владельца

  Магнитной полосой (и чипом, что не столь принципиально)

Изображение, голограмма, подпись, фотография - служат для определения идентификации карты в магазинах, банках, или пунктах обслуживания. Нас же интересует система банкоматов или интернет-торговли, где эти данные не учитываются.

На магнитной ленте (или чипе) записаны два набора цифр. Первый - копия того, что указано на карте (фамилия, номер, срок действия (expiriency date). Второй - некий шифр, образованный по некоему алгоритму из этих данных. (CVV - card verification value или CVC - card verification code). Этот цифровой код называется CVV1/CVC1.

В онлайн-торговле вообще принимается во внимание только номер и код. Это три цифры, которые нанесены на обратной стороне карты, и называются они CVV2/CVC2.

Банкомат при считывании карты принимает во внимание только вторую дорожку. По ней он и идентифицирует владельца карты (точнее, банкомат передает этот код и получает данные от сервера банка) и принимает решение о выдаче денег или приеме оплаты.

Суть скимминга в том, что преступник "модернизирует" банкомат электронным устройством, которое считывает информацию с карточки потенциальной жертвы (оно называется скиммер). Вы можете не заметить этого, спокойно воспользовавшись услугами банкомата. А через некоторое время ваша банковская карта будет взломана и лишена всех денег, которые на ней хранились.

Как происходит кража информации с банковской карточки?

Скиммер копирует информацию, которая содержится на магнитной полосе пластиковой карты, и дает возможность мошенникам изготовить дубликат вашей карты. Помимо скиммера на банкомат устанавливается фальшивая клавиатура и/или скрытая камера для определения пин-кода.

Что такое скимминг-клавиатура и как ее опознать?

Во-первых, она может при тактильном контакте незначительно сдвигаться, во-вторых, возвышаться над поверхностью банкомата, в третьих, на панели банкомата могут остаться следы клея. С помощью такой клавиатуры копируется ПИН-код, который вы вводите для начала операций с картой.

Помимо ложной клавиатуры существуют еще как минимум два способа узнать ваш ПИН-код: подглядеть его, стоя у вас за спиной, или установить на банкомат небольшую видеокамеру, направленную на область клавиатуры.

Скимминг - накладки на гнезда банкоматов, которые считывают информацию с магнитной полосы карточки. Причем теперь их уже оборудуют сим-картами, с помощью которых они отправляют данные прямо на мобильный телефон мошенника. Иногда доходит даже до того, что преступники устанавливают на улицах целые фальшивые банкоматы, запрограммированные на снятие информации с карточек.

Как обезопасить себя от мошенничества - скимминга?

Схема мошенничества

Мошенники устанавливают на банкоматы считывающие устройства - скиммеры.

На картридер устанавливают рамки с магнитной головкой, считывающей информацию с магнитной полосы и записывающую дампы карт на встроенную микросхему памяти и / или на клавиатуру приклеивают накладку, очень похожую на настоящую клавиатуру, которая запоминает нажатия клавиш и также записывает их на встроенную микросхему.

Изображения 1, 2, 3 . Картоприемник с установленным скиммером и накладка на клавиатуру

Как вариант, вместо клавиатуры на банкомат крепят миниатюрную видеокамеру, которая снимает руку, вводящую ПИН-код и записывается в модуль памяти, либо передает его дистанционно на компьютер мошенника. Обычно, в случае дистанционной передачи, мошенник находится где-то неподалеку и принимает видеоданные при помощи ноутбука.

Изображение 4. Скрытая видеокамера, установленная на банкомат

Схема "Заплати за вход"

У многих банков банкоматы расположены в закрытых помещениях с замком, который можно открыть, проведя любой картой через магнитный картридер. Обычно картридер не считывает данные с карты, а проверяет только наличие магнитной полосы в принципе.

Это сделано для того, чтобы в помещение банкомата (обычно теплое и достаточно комфортное для временного нахождения) не проникали случайные посетители и посетители не имеющие цели использовать банкомат (бывали случаи использования банкоматного помещения для ночлега и совершения "действий не финансового характера"). Мошенники устанавливают на картридер для входа скимминговую накладку и считывают информацию с карт входящих клиентов. Также рядом с картридером может прикрепляться клавиатура для ввода ПИН-кода.

Через некоторое время мошенник снимает скиммер с банкомата, записывает дамп карты на любую карточку с магнитной полосой и используя ПИН-код, полученный с клавиатуры, либо видеокамеры снимает наличные через другие банкоматы.

Считанные с карт дампы, могут также использоваться для изготовления клонов карт. Если ПИН-код мошенникам не известен, покупки совершаются с использованием "белого пластика" в магазинах при сговоре с кассиром, либо путем изготовления мошеннической карты.

Мошенники не редко пересылают дампы карт для изготовления подделок и обналичивания в другие страны. Это делается с целью усложнения расследования подобных прецедентов и переноса ответственности по мошенничеству на банки (ведь клиенту легче доказать, что он не совершал операцию, если карта при нем и в заграничном паспорте нет отметок о посещении станы, в котором произошло несанкционированное списание средств).

Борьба со скиммингом в банкоматной сети

В борьбе со скиммингом, банки обычно используют три технологии - физический мониторинг, пассивный антискимминг и активный антискимминг.

Физический мониторинг банкоматов

Включает в себя периодический осмотр банкомата сотрудниками банка, инкассаторами, либо специалистами сервисной службы на аутсерсинге. Осмотр обычно производится по граффику с заполнением специального журнала проверок, чтобы в случае нахождения инородного устройства выявить промежуток времени в течение которого был риск компрометации карт. Физический мониторинг может казаться самым дешевым, однако в пересчете на потраченное время сотрудников и вероятность мошенничества между проверками, по факту оказывается самым ненадежным и дорогим способом борьбы со скиммингом.

Пассивный антискимминг

Банк устанавливает на щель картоприемника специальные антискимминговые накладки, препятствующие установке посторонних устройств. Накладка может быть подключена к специальному датчику, который срабатывает в случае попытки мошенника снять антискиммер с банкомата. Датчик может состоять из обычных проводов, которые рвутся при снятии антискиммера с банкомата, либо пары магнит+геркон (при котором контакты геркона реагируют на удаление антискимминговой накладки со встроенным магнитом). При этом, в процессе удаления антискиммера, наличие герконовой пары мошенник может не заметить, что повышает шансы его поимки.

Изображения 5, 6, 7 Антискимминговые накладки на банкомате

Недостаток пассивного антискимминга в том, что многие держатели карт, начитавшись и насмотревшись страшилок про банкоматное мошенничество, увидев постороннее устройство боятся (и кстати вполне оправданно) пользоваться таким банкоматом.

Частично успокоить держателей карт удается разместив на экране банкомата, или на специальной наклейке под картоприемником изображения правильного вида картоприемника. К сожалению не все держатели карт бдительны, а технологии, применяемые мошенниками позволяют изготавливать скиммеры настолько высогого качества, что отличить скиммер от антискиммера порой не могут даже сотрудники банков. Попробуйте отличить антискимминговую накладку от скиммера на изображениях 2 и 5.

Пассивный антискимминг - это бюджетный, компромисный, но не лучший вариант борьбы со скиммингом.

Активный антискимминг

Это самый дорогой, но эффективный способ борьбы со скиммингом. Устройство устанавливается внутри банкомата и незаметно снаружи. Активный антискиммер контролирует пространство перед банкоматом и позволяет моментально выявить несанкционированную установку на него посторонних устройств. Антискиммер может также создавать радиопомехи в области щели картоприемника, препятствующие работе посторонних электронных устройств.

Датчики антискиммера позволяют анализировать электромагнитное поле в зоне размещения картридера, ПИН-клавиатуры и монитора и в случае резкого изменения напряженности поля (включения излучающих устройств при радиопередаче, установка постороннего оборудования), устройство подает команду на управляющий блок банкомата, который выводит банкомат из режима обслуживания клиентов и может выполнять дополнительные действия (отправка команды, SMS, оповещение службы охраны и мониторинга и т.д.).

Как уберечься от скимминга

Т.к. банки борются со скиммингом не всегда достаточно успешно, держателю карты необходимо самостоятельно принимать меры к безопасности своей карты. Задачи просты:

1. Не допустить считывания данных с магнитной полосы посторонними устройствами, установленными мошенниками
2. Предотвратить получение мошенниками ПИН-кода от карты

Конкретные способы защиты:

1. По возможности ограничьте использование банкоматов в принципе, т.к. большинство карт компрометируются именно в них.
2. По возможности расплачивайтесь картой в магазинах, не забывая следить за тем, чтобы кассир не уносил карту от Вашего взгляда.
3. Каждый раз, даже пользуясь знакомым Вам банкоматом, осматривайте его на предмет наличия подозрительных устройств (накладок на кардридере, скрытых камер видеонаблюдения, подозрительных панелей на банкомате)
4. Попробуйте подцепить край клавиатуры для ввода ПИН-кода ногтем. Если на клавиатуре есть мошенническая накладка, она может люфтить и даже отделиться, т.к. приклеивают ее обычно двусторонним скотчем, либо суперклеем
5. Не стесняйтесь активно потрогать антискимминговую накладку на кардридере. Настоящая не оторвется, т.к. она антивандальная, мошенническая же может отсоединиться.
6. Вводя ПИН-код прикрывайте ладонь и клавиатуру второй рукой или кошельком, чтобы даже установленная у банкомата видеокамера не засняла вводимые Вами цифры
7. Установите лимит на снятие наличных в банкомате не больше 1 операции в день. Возможно, Вам будет сложнее пользоваться банкоматом, зато мошенники не смогут обнулить весь Ваш счет.
8. По возможности используйте карты с чипом. Такие карты больше защищены от скимминга, и опротестовать мошенническую операцию будет проще.
9. И помните! То что банкомат установлен в офисе банка не является гарантией, что на нем не установлено скимминговое устройство.

Это то, чего в банкоматах быть не должно.

Используя скиммеры, мошенники крадут данные с банковских карт при работе с банкоматами, инфокиосками и терминалами.

Суть скимминга

Технологии кражи данных при непосредственном контакте с банковской картой постоянно совершенствуются. Обычно это происходит так:

1. Клиент вставляет карту в картоприемник.
2. Вводит ПИН-код
3. Устройство считывает номер карты и введенный код.

Затем происходит:

• либо блокирование карты на некоторое время, за которое мошенники успевают перевести деньги с карт-счета;
• либо собираются данные для создания копии карты, которая потом будет использована в других банкоматах для вывода денег.

Какими выглядят скиммеры

Внешний вид и тип работы скимминговых устройств весьма различны. Они постоянно «эволюционируют» и «маскируются» под детали банкоматов, терминалов и внешнего декора.

Самые распространенные скиммеры это:

Накладка на гнездо. Мешает извлечь карту обратно. Пользователь проглоченной карты начинает искать помощь у стоящего рядом. Который как раз и оказывается мошенником. Карта, после нескольких безуспешных попыток, все равно не возвращается клиенту. Но он успевает сообщить ПИН-код и уходит. После этого злоумышленники снимают деньги с карты. Иногда на «оборудованном» банкомата заменяют телефон службы поддержки. Клиент звонит по нему и сообщает код якобы сотруднику банка.

Вставка внутрь прорези для карты

Работает также как накладка на гнездо.

Фальшивая клавиатура, которая устанавливается поверх настоящей.

Действует вкупе с установленным внутри банкомата устройством, которое блокирует карту в банкомате. Клавиатура же «запоминает» набранный ПИН-код.

Дополнительная камера на панели банкомата.

Может иметь самый разный вид, иногда это просто черные стеклянные кружки. Устанавливается камера с той же целью, что и накладка на клавиатуру - запоминает набранный код.

Простейшая защита от подобных преступлений помнить, что ПИН-код предназначен только для держателя карты. Сотрудники банков его никогда не спрашивают. ПИН-код нужен только для снятия средств, в карты из банкомата он не помогает.

Другие виды скиммеров

С развитием технологий появляются скиммеры, которые позволяют не красть саму карту, блокировать ее, как это описано выше и подглядывать ПИН-код. Современные скиммеры могут воровать не сами карты, а только информацию с них.

Сложные скимминговые устройства имеют вид:

• банкомата;
• стационарного терминала для приема платежей по картам;
• такого же мобильного терминала.

Эти устройства могут находиться в корпусах настоящих терминалов и банкоматов, но иметь внутренние механические или программные изменения.

Самостоятельно распознать хорошо сделанное современное скимминговое устройство для обычного человека трудно. Сравнительно надежной мерой профилактики кражи денег с карты может быть расчет картой в солидных магазинах и снятие наличных в терминалах внутри отделений банков.