Gemeinhin wird der Einsatz von EC- und Kreditkarten mit Chip und dem notwendigen PIN-Code als sicher angesehen. Die EMV-Verfahren genannte Technik soll betrügerische Abhebungen und Zahlvorgänge verhindern – wenn der Kartenbesitzer auf Karte und PIN achtet.
Französische Wissenschaftler haben durch die Analyse einer ausgefuchsten Betrugsmasche jedoch nachgewiesen, dass schon der Verlust der Karte genügte, um den eigenen Kontostand schrumpfen zu lassen. Die vier verhafteten Kriminellen, die gut 600.000 Euro ergaunerten, sollen den Autoren der Analyse zufolge den bislang wirksamsten Angriff auf EMV ersonnen haben: Sie entfernten den Chip (Smartcard) einer geklauten Karte und pflanzten ihn auf eine sogenannte Fun-Card. Diese programmierbaren Karten wurden beispielsweise verwendet, um Pay-TV-Kanäle freizuschalten.
Im Fall der modifizierten Bezahlkarten führte die Kombination aus echter, geklauter Smartcard und Funcard dann dazu, dass die Funcard dem Kartenlesegerät durch Eingabe einer beliebigen PIN grünes Licht signalisierte. Anschließend reichte die Huckepackkarte alle weiteren Anfragen des POS-Terminals, etwa für Bezahlvorgänge, an die geklaute Karte weiter. Wie aus der Analyse hervorgeht, waren die zusammengeklebten Chips zwar ein wenig dicker als herkömmliche Bezahlkarten; sie ließen sich aber dennoch einwandfrei in Lesegeräte einführen.
Die Polizei fand bei der Verhaftung der Kriminellen 25 solcher modifizierten Karten. Insgesamt kamen 40 geklaute Karten zirka 7000 Mal zum Einsatz Die Gauner bezahlten damit hauptsächlich Zigaretten und Rubbellose – also Waren, die sich auf dem Schwarzmarkt leicht zu Geld machen ließen. Ob es auch zu Bargeldabhebungen kam, geht nicht aus dem Report hervor.
Erwischt wurden die Kriminellen, weil sie in immer den gleichen Läden einkauften. Durch einen Abgleich der zum Zeitpunkt der zahlreichen Transaktionen in der Nähe befindlichen Mobiltelefone kannte die Polizei alsbald die Identitäten der Kriminellen. Unter den Verhafteten war auch der Techniker, der die Karten zusammenfügte.
Nachdem die Vorfälle alle bereits über vier Jahre zurück liegen – der Report wurde dennoch erste vergangene Woche veröffentlicht –, hatten die Betreiber des EMV-Systems hinreichend Zeit, Gegenmaßnahmen zu ergreifen, die einen solchen Angriff auskontern. Wie die Forscher schreiben, implementierten sie eine dieser Maßnahmen wortwörtlich über Nacht. Sie gehen in ihrem Report aber nicht auf die technischen Details der neu eingeführten Techniken ein – um es Kriminellen künftig nicht allzu leicht zu machen, einen neuen Angriff auf EMV reiten zu können.
Gastbeitrag von Michael Kranawetter, National Security Officer (NSO) bei Microsoft in Deutschland. In seinem eigenen Blog veröffentlicht Michael alles Wissenswerte rund um Schwachstellen in Microsoft-Produkten und die veröffentlichten Softwareupdates.
Der ganze Artikel: Erfolgreicher Angriff auf Chip & PIN: Geklauter Chip sitzt huckepack