Criminelen zijn er op een zeer slimme manier in geslaagd om voor tonnen te frauderen met creditcards die van een EMV-chip zijn voorzien. De EMV-chip is de opvolger van de magneetstrip en moet het lastiger voor criminelen maken om te frauderen, bijvoorbeeld door het skimmen van betaalpassen.

Toch is ook de chip niet immuun voor aanvallen, zo blijkt uit onderzoek (pdf) van Franse onderzoekers waar Wired over bericht. Vier jaar geleden werden een dozijn creditcards in Frankrijk gestolen, die vervolgens in België werden gebruikt. Iets dat onmogelijk zou moeten zijn zonder de pincode van de kaarthouders. Dit leidde tot politie-onderzoek en uiteindelijk de aanhouding van verschillende bendeleden.

Uit het onderzoek dat volgde en waarvoor de onderzoekers röntgenstralen gebruikten bleek dat de criminelen een tweede chip op de EMV-chip van de gestolen creditcards hadden aangebracht. Via deze chip konden ze de verificatie van de pincode omzeilen, aangezien elke ingevoerde pincode werd geaccepteerd. Daarbij maakten de criminelen gebruik van het feit dat de authenticatie van de pincode destijds was losgekoppeld van de transactieverificatie van EMV-betaalkaarten.

Transactie

Een normale EMV-transactie bestaat uit drie stappen. Authenticatie van de betaalkaart, verificatie van de kaarthouder en als laatste de autorisatie van de transactie. Tijdens de transactie mocht de originele chip op de aangepaste betaalkaart gewoon op de authenticatiecontrole reageren. Bij de verificatie van de kaarthouder vroeg de betaalautomaat om de pincode van de gebruiker. De crimineel vulde vervolgens een willekeurige code in.

Op dat moment werd de aangebrachte chip actief en liet de betaalautomaat weten dat de pincode correct was, die dat accepteerde. Tijdens de laatste transactie-autorisatie gaf de tweede chip de data tussen de betaalautomaat en de originele eerste chip door. Op deze manier wist de bende voor zo'n 600.000 euro met de aangepaste creditcards te stelen. Uiteindelijk liepen de criminelen tegen de lamp omdat ze steeds op dezelfde plekken de gestolen creditcards gebruikten.