Onderzoekers van de Universiteit van Cambridge hebben lekken ontdekt in het pinnen met een EMV-chip, waardoor aanvallers pinpassen kunnen klonen en gebruiken zonder dat banken dit doorhebben. De EMV-chip, ook aangekondigd als het 'nieuwe pinnen', moest het skimmen juist tegengaan.

Volgens de onderzoekers zijn er "twee ernstige problemen" met de EMV-chip. Het gaat om een wijdverspreid implementatieprobleem en een lastiger op te lossen kwetsbaarheid in het EMV-protocol zelf. Daardoor kunnen de problemen die zich met de magneetstrip voordeden ook nu weer voordoen. "Het klonen van kaarten is juist het soort fraude dat EMV had moeten voorkomen", zo laten de onderzoekers weten.

Transactie

Als er een transactie via EMV wordt uitgevoerd vereist de betaalautomaat dat de pinpas een authenticatiecode voor de transactie produceert. Een deel van deze transactie is een getal dat willekeurig zou moeten zijn, om te voorkomen dat authenticatiecodes van tevoren kunnen worden gegenereerd. De onderzoekers stellen dat er twee manieren zijn om deze beveiliging te omzeilen. De eerste manier maakt misbruik van de implementatie van de willekeurige getallengenerator aan de kant van de betaalautomaat. Die blijkt bij sommige implementaties helemaal geen willekeurige getallen te genereren. Iets wat de onderzoekers in de praktijk aantroffen.

Het tweede probleem betreft dat de betaalautomaat of de communicatie naar de bank toe kan worden gemanipuleerd. Ook dit hebben de onderzoekers in de praktijk aangetroffen. Een aanvaller kan de gemanipuleerde automaat in de toekomst een zogenaamd willekeurig getal laten genereren. Vervolgens moet de aanvaller tijdelijk toegang tot de kaart zien te krijgen, bijvoorbeeld door de betaalautomaat te manipuleren. Daarna kan hij de authenticatiecodes voor de bijbehorende "willekeurige" getallen opvragen die pas later zullen plaatsvinden.

Als laatste plaatst de aanvaller de authenticatiecodes op een gekloonde pinpas en gebruikt die vervolgens in de gemanipuleerde betaalautomaat. Omdat de authenticatiecodes overeenkomen met de codes die de echte kaart zou hebben gegeven, kunnen de banken geen onderscheid tussen de echte en de gekloonde kaart maken. Omdat het op een legitieme transactie lijkt te gaan zouden banken kunnen bepalen dat ze het slachtoffer niet vergoeden, aldus de onderzoekers.

Fraudes

De problemen zouden bij veel gebruikte geldautomaten van de grootste fabrikanten zijn aangetroffen. "We kunnen nu tenminste een groeiend aantal fraudes verklaren waarbij slachtoffers de schade niet door banken vergoed krijgen en beweren dat EMV-kaarten niet gekloond kunnen worden en dat de klant zelf een fout heeft gemaakt of medeplichtig is." De onderzoekers presenteren deze week hun onderzoek, waarin ze ook aanbevelingen doen om deze vorm van fraude tegen te gaan.