Politie vindt skimapparatuur bij onbemand tankstation
De politie heeft deze week bij een onbemand tankstation in Arnhem-Zuid skimapparatuur aangetroffen. De eigenaar ontdekte de apparatuur en waarschuwde de politie. Vlak bij de betaalautomaat bleek onder meer een cameraatje te zijn aangebracht waarmee de ingetoetste pincode kon worden afgekeken. De apparatuur is voor onderzoek in beslag genomen.
Ondanks de introductie van het nieuwe pinnen, waarbij een chip in plaats van de eenvoudig te kopiëren magneetstrip wordt gebruikt, komt het skimmen bij onbemande tankstations nog steeds voor. Bij veel van deze automaten zijn de paslezers nog niet vervangen, waardoor criminelen hun slag kunnen slaan.
Oplossing
Eind vorig jaar lieten tankstations nog weten dat de banken het skimmen moesten oplossen. "Berichten over skimapparatuur zet onze branche in een kwaad daglicht, terwijl wij alle mogelijke maatregelen nemen om het terug te dringen. We hebben camerabewaking; onze betaalapparatuur voldoet aan alle eisen", aldus Peter Eilander van TinQ destijds.
Zolang er nog magneetstrips op passen zitten die helemaal in de lezer verdwijnen maakt het niet uit of de lezer erachter iets met de chip doet: Een magneetstriplezer is er zo tussengezet. Overigens is het ook prima mogelijk om tussen chip en chiplezer een afkijkert te schuiven: http://www.cl.cam.ac.uk/research/security/banking/nopin/
Tevens, zolang er nog banken zijn die via een magneetstrip-automaat (veelal in het buitenland) uitbetalen blijft het ellende.
Truc schijnt ook te zijn, chip + pincode inlezen, info wegschrijven op bijv. een Ikea-magneetstrip-klantenkaart wegschrijven en bij een buitenlandse bank geld opnemen die magneetstrips nog accepteert.
Waarmee je gelukkig laat blijken geen bal te begrijpen van EMV of deze specifieke exploit. Er wordt niets afgekeken. Dat is zinloos want RSA is niet (nog niet?) kwetsbaar. De Britse implementatie van EMV laat toe dat de kaart zelf aangeeft of de PIN correct is, en als het antwoord getekend is met een geldige key van een andere kaart waarvan de boef de PIN wel weet accepteert de terminal de transactie. Om kaart en klant te matchen is een online verificatie nodig. Met andere woorden: je kunt een 'de opgegeven PIN is correct' faken. Dat werkt enkel in de UK, en enkel voor winkels die betalingen niet online verifiëren. Ze vallen alsnog door de mand op het moment dat de transacties naar de bank gaan, maar op dat moment is de boef al weg met de spullen.
Skimmen van magneetstrippen en PIN is alleen nog vervelend voor banken die geen goede check op land en transactie hebben. Iemand die met mijn strip en PIN vanuit Bogota probeert geld op te nemen heeft toch echt pech.
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.