Bankir.Ru
3 декабря, суббота 01:23

Объявление

Свернуть
Показать больше
Показать меньше

Скимминг через ATM

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Скимминг через ATM

    Вот интересная статья с сайта "коллег" с кардерского форума. Кто-то сталкивался с чем-либо подобным?

    Хай-тек воровство
    Преступники воруют информацию из банкоматов для опустошения банковских счетов

    Рост числа банкоматов в магазинах, как например этот в Нью-Йорке, позволяет мошенникам придумывать новые способы кражи денег

    Мошенники нашли способ узнавать не только чей-то номер счёта из Банкомата или дебетовой карточки , но и персональный идентификационный номер (ПИН-код) жертвы. С этой более чем достаточной информацией воры могут ограбить ничего не подозревающую жертву электронным путём.

    Подобное мошенничество было обнаружено в Нью-Йорке, Флориде, Калифорнии и кое-где в Канаде.

    Техника кибер-преступников настолько незаметна , что человек даже не подозревает что стал жертвой пока не увидит банковский счет за месяц или когда перестают принимать чеки из-за недостаточного количества денег на счету.


    Внезапно исчезающие деньги

    Крис Ланди – биржевой аналитик из одной инвестиционной компании , стал жертвой подобной махинации

    Прошлым месяцем Крис и его невеста проверили свой online счёт с тем чтобы заплатить за свою квартиру на Манхэтэне. Они увидел что в течении нескольких часов с их счёта были сняты 1100$ в 2 захода, сначала 500$, потом 600$ причём из банкоматов находящихся в Flushing, Queens.

    “Сначала я задался вопросом – что случилось ?” Сказал Крис “Мы не работаем в Qeens и в глаза не видели тамошние банкоматы”

    После того как он позвонил в банк и заморозил счёт, Крис позвонил в местный полицейский участок и узнал, что он стал новой жертвой кибер-преступников которые планировали эту атаку на банковские счета более года.

    Детективы из департамента Нью-Йоркской полиции (Fraud отдел) о ходе следствия комментариев не дают. Но согласно данным газеты New York Post преступники украли около 1.5 миллиона долларов Официальные лица подозревают, что это дело рук русской мафии.


    .:: Прим. переводчика - чуть что, сразу русские виноваты ::.

    Тайный захват данных

    Официальные лица не говорят, каким образом действуют преступники. Но промышленные источники намекнули ABCNEWS, каким образом они могут красть деньги у ничего не подозревающих жертв.

    Согласно одному из источников, мошенники могут иметь несколько своих банкоматов, не принадлежащих ни одному из банков. Это автоматы для выдачи наличных в магазинах, бензоколонках, и т.д. Подобные автоматы снабжены небольшими устройствами , считывающими данные с магнитной ленты карты (как в настоящем банкомате), да ещё вдобавок снабжённые “умными кнопками” которые записывали 4х-значные PIN-коды.

    Вся информация – информация с магнитной ленты и PIN-код записывались в отдельный блок памяти банкомата. Преступники использовали эту информацию для изготовления карт-двойников. А потом имея на руках клон и зная PIN код шли в настоящий банкомат и снимали деньги

    В истории преступлений виртуозные мошенники использовали определённые карты и определённые банкоматы. Большинство схем, типа так называемой Ливанской Петли - довольно простые. В этой схеме, мошенники подстраивали щель для карточек в банкомате таким образом, чтобы банкомат “зажевал” кредитку. Мошенник, изображая из себя доброго самаритянина, давал совет жертве, чтобы та несколько раз ввела PIN-код чтобы достать карту. Когда жертва, несолно хлебавши уходила ни с чем – преступник доставал специальным инструментом карту и зная PIN-код использовал её по своему усмотрению.


    .:: Прим. переводчика::. Вот помню у меня случай был год назад, правда к банкоматам отношения не имеет, но может пригодиться =) Где-то год назад я позвонил из автомата на одном московском вокзале. Позвонить то позвонил, а вот карточка застряла, я туда-сюда, в общем понял что попытки мои тщетны, отошёл метров на 20 и с горя закурил , вдруг смотрю – какой-то жлоб мою карту щипчиками интересными достаёт и куда-то растворяется. Мораль: осталось найти этого жлоба, дать ему баксов 50 и он вам и способ расскажет и щипчики отдаст а потом идти к ближайшему банкомату “Ливанскую Петлю” проворачивать ::.

    Банкоматы: Соблазнительная Цель

    Эксперты убеждены что у преступников есть подставные частные банкоматы по нескольким причинам.

    Во первых: Частные банкоматы находятся в собственности и обслуживаются независимыми операторами которые могут и не знать о таких девайсах как “умные кнопки” и дополнительные кард ридеры которые могут быть легко добавлены или убраны с их банкоматов.

    Большинство этих автономных банкоматов имеют очень малое количество встроенных камер слежения или находятся в местах где камер слежения вообще нет, так что у полиции в преступлениях связанных с этими банкоматами практически нет улик.

    Роб Эванс, коммерческий директор NCR, ведущего поставщика Банкоматов, говорит, что промышленность развила несколько технологий, которые могут препятствовать махинациям с банкоматами. Банкоматы компании NCR например могут быть оборудованы увеличенными считывающими кард ридерами, которые могут бороться с автономными кард ридерами мошенников непосредственно во время “чтения” карты.

    “Когда кардхолдер помещает карточку в банкомат, кардридер банкомата создаёт электронные помехи и нелегальные кардридеры тем самым не в состоянии записать информацию о карте” говорит Эванс.

    Банковская индустрия также изучает другие высоко-технические меры типа использования шифрования программного обеспечения и так называемые смарт кардс, они хранят информацию на микропроцессорах которые очень трудно дублировать.

    Но официальные лица типа Эванса признают, что это - жесткая гонка вооружений против кибер-преступников. "Мы делаем всё возможное чтобы сделать банкоматы, непривлекательными для людей, которые хотят использовать их в своих преступных целях" говорит Эванс. Но банкоматы - особенно автономные версии – хорошо распространяются, “Преступники собираются вытянуть из банкоматов как можно больше денег, пока это ещё возможно.”


    Потери и уроки

    Неутешительные новости для потребителей и финансовых учреждений - ежегодно миллиарды долларов пропадают с банковских карт путём мошеннических операций.

    Citigroup и J.P. Morgan & Chase – одни из самых больших учреждений в США сильно пострадали от кибер-воров , сумма награбленного и детали последнего преступления ими не комментируются.

    Но Марк Роджерс, представитель Citigroup сказал: “С деньгами клиентов ничего не случилось и мы извиняемся за любые причинённые неудобства [из-за кражи денег]” Роджерс также говорит, “Мы работаем с клиентами, чтобы разрешить все проблемы связанные с их счетами”

    Kстати Крису Ланди были возвращены его 1100$ и теперь вместе со своей невестной он глаз не спускает со своего нового счёта.


    Как самому не стать жертвой

    Большинство потребителей защищены от больших потерь законом. Как правило, потребитель ответственен только за первые $50 в мошеннических манипуляциях с его кредитной картой или банковской дебетовой картой. Вот несколько советов для сохранения вашей дебетовой карты и ваших денег в целости и сохранности :

    - Храните PIN-КОД вашей карты в надёжном месте. Банк и представители закона никогда не будут спрашивать Вас относительно этой информации, так что не говорите его никому и никогда.

    - Будьте бдительны. Не доверяйте “добрым самаритянам” и прочим альтруистам предлагающим свою помощь если вы испытываете трудности со снятием денег из банкомата.

    - Визуально проверьте банкомат. Ели вы увидите что-то подозрительное – обесцвеченный кард ридер, или цифровую панель, которая не реагирует на нажатия клавиш – идите к другому банкомату, а также не забудьте проинформировать о своих подозрениях банк или владельца банкомата, указанного на самом банкомате.

    - Если банкомат "зажевал" вашу карту – немедленно звоните в банк и замораживайте счёт. Если неисправность – обычная поломка то банк заставит владельца банкомата достать вашу карту или просто откроет вам новый счёт чтобы обезопасить вас.

    - Проверяйте выписки по банковскому счету регулярно - если возможно, даже ежедневно. Чем быстрее Вы обнаружите и сообщите ваши подозрения о сомнительных транзакциях - тем лучше.


    Posted by Bigbuyer [Godfather], Joined: 27 Apr 2002 № 2730
    Posted: Sun Jul 28, 2002 12:52 am
    Перевод - cewl-cheater

  • #2
    Недавно по НТВ показали задержание преступника, который снимал деньги со скиммнуты карточек в банкомате. То есть он имел пин-коды к этим картам. Кто-нибудь может рассказать, как это было на самом деле? Действительно ли он имел пины к картам? А то чего только журналисты не наговорят

    Комментарий


    • #3
      Были попытки "вклиниться" в канал, причем не возле банкомата, а где-то на стыке провайдеров.
      Душа - Богу, Жизнь - Отечеству, Честь - никому.

      Комментарий


      • #4
        flagman а толку? Раскриптовывать пин блоки? так ключи знать надо. Записывать вторые треки? Так для этого нужно немного знаний и спецдевайс под названием клавиатура, все остальное уже есть в банкомате... Правда вот достать файлик с записанными треками будет сложно...

        Комментарий


        • #5
          Я плакалЪ.

          Особенно про ридер, создающий электромагнитные помехи. Интересно, а как они его по FCC серитифицировали?

          А если серьезно, то проблема фейковых банкоматов есть. Более того, неисключена проблема "жучков" в реальных бакноматах.

          С уважением,
          ===========
          С уважением,
          ==========

          Комментарий


          • #6
            doctor64 да толку ноль, тем паче Х25, но сам факт насторожил
            Душа - Богу, Жизнь - Отечеству, Честь - никому.

            Комментарий


            • #7
              flagman О боже, еще и x.25 Тут у нас просто спеца по x25 днем с огнем не найдешь Нет, конечно теоретически если набирать долго статистику, а работники банка лентяи и не меняют ключи, то раскриптовать можно...

              Комментарий


              • #8
                EUgeneUS Я так думаю, что проблема инсайдеров в ПЦ куда серьезнее.

                Комментарий


                • #9
                  2 all

                  Весь колер здесь в том, что г-да мошенники либо использовали поддельные банкоматы, или дооснащали своими устройствами слабоконтролируемые чужие банкоматы.
                  Очевидно помогла как раз Российская Школа "хака". Иностранцев останавливает суровая надпись "privacy", а наших даже надпись "Не влезай! Убьет! Высокое напряжение!" - не останавливает. Вот и результат.

                  Выход видится один - надо вообще переходить на сплошной безнал и завязывать с АТМ как с классом.

                  Комментарий


                  • #10
                    Не, с АТМ завязывать нельзя, но и продавать их безконтрольно (да и устанавливать)-вот эту "победу западной демократии" ни в коем случае на наш рынок допускать нельзя, да и ставить надо так, чтоб максимально исключть несанкционированный доступ к "внутренностям" (да у нас подавляющее большинство машин так и стоит). В Москве, кроме как в метро бардака с АТМ и нету практически. На память приходит позорный случай, когда вскрыли на Октябрьской АТМ и украли модем из него...

                    Вывод напрашивается такой, что кроме банков и процессинговых компаний иным на этом рынке делать нечего.
                    Душа - Богу, Жизнь - Отечеству, Честь - никому.

                    Комментарий


                    • #11
                      flagman а что, в россии есть банкоматы не принадлежашие банкам?

                      Комментарий


                      • #12
                        doctor64

                        > Я так думаю, что проблема инсайдеров в ПЦ куда серьезнее.

                        Если говорить, а скимминге и снятии ПИН-кодов с реальных бакноматов - это тоже проблемы инсайдеров. И еще вопрос какой инсайдер страшнее. Но это тем не для публичного обсуждения.

                        Myxa

                        > Выход видится один - надо вообще переходить на сплошной безнал и завязывать с АТМ как с классом.

                        Основоной поток фрода все таки идет из торговли, где применяются карты без ПИН-кода. ИМХО.

                        flagman

                        > Вывод напрашивается такой, что кроме банков и процессинговых компаний иным на этом рынке делать нечего.

                        Это было бы слишком жестко. Различным сервисным службам тоже есть место на рынке. Но порядок, конечно, должен быть.

                        С уважением,
                        ===========
                        С уважением,
                        ==========

                        Комментарий


                        • #13
                          В принципе со смарт-картами решить проблему можно, правда ее должны
                          начать поддерживать МПС. Т.е. на смарт-карте есть корневой сертификат
                          (по эквайерингу или общий) от VISA или Mastercard. Все ATM и POS должны иметь секретные ключи подписи для док-ва
                          своей подлинности, а открытые подписываются на сертификате эквайера.
                          Когда карточка вставляется в ридер она генерирует случайной число, которое
                          отправляет в ATM или POS на подпись. После этого карточка проверяет подпись
                          ATM или POS прежде чем продолжать операции. Другое дело, что на карте
                          должно быть нечто, что позеленеет или покраснеет (или начнет пищать ), чтобы клиент это понял, а
                          то на экране ATM будет написано - что все ОК.

                          Хотя есть еще способ - карта проверяет подлинность ATM и только после
                          этого выдает некое число банкомату. Банкомат выводит это число на экран
                          перед совершением операций (похоже на расширение offline PIN'a). Потом
                          при совершении операций это число изменяется и печатается на чеке.

                          Правда есть неудобство - клиенту надо либо его помнить, либо сохранять чек.

                          В общем и эту схему можно упростить - просто иметь фиксированный ПИН (на
                          конверте можно печатать два ПИН-а),
                          который ATM будет спрашивать у холдера. Конечно и его можно как-то
                          подсмотреть, но все-таки это будет надежнее.
                          Последний раз редактировалось nick_st; 31.07.2002, 14:56.
                          Nick_st

                          Комментарий


                          • #14
                            Myxa
                            Выход видится один - надо вообще переходить на сплошной безнал и завязывать с АТМ как с классом.
                            Ну скимминга станет еще больше, а так еще пока не все передается в
                            электронной форме
                            Nick_st

                            Комментарий


                            • #15
                              doctor64 а "Глобус" (не знаю кто они сейчас, но это их АТМ обезмодемили тогда)?



                              EUgeneUS - севисные службы-это не та "свадьба", я имел ввиду принадлежность=ответственность.
                              Душа - Богу, Жизнь - Отечеству, Честь - никому.

                              Комментарий


                              • #16
                                EUgeneUS Инсайдер - это всегда страшно. А почему не публично? Собственно, я упорно не могу понять, почему вы, россияне, обожаете принимать позу страуса? Достаточно вспомнить недавнюю тему про роспись на чеке. Есть технология. В технологии есть дыры. Любой человек, имеющий минимальный доступ к обслуживающей документации и имеющий голову, а не подставку для шляпы , за час придумает несколько способов добычи денег из банкомата. (особенно мне в этом отношении нравятся банкоматы одной европейской фирмы, c компютером вне сейфа) Так надо думать и действовать, а не прятать голову в песок в надежде что никто не додумается до простых в общем-то вещей.

                                Комментарий


                                • #17
                                  flagman Я как бы не в курсе российских реалий. Так есть у вас банкоматы, принадлежащие не банку? Хм, вспомнил, был у нас случай. Шахта купила банкомат, и юридически он принадлежит ей, но все обслуживание и вообще доступ к банкомату имеют только работники банка и обслуживающей фирмы. А что делал ваш "Глобус" ?

                                  Комментарий


                                  • #18
                                    doctor64 так в свое время была крупнейшая сеть АТМ по Москве по картам СТБ и иже с ними, была отдельная коммерческая фирма, но уж и не помню то ли от/при СБС-Агро, то ли еще откуда. Чьи они сейчас (ибо все на своих местах)-не знаю (но карты в них не сую).
                                    Душа - Богу, Жизнь - Отечеству, Честь - никому.

                                    Комментарий


                                    • #19
                                      flagman Мнда. Весело живете. Правда, после того как я узнал что у вас для пополнения картсчета нужна доверренность меня уже ничего не удивляет. Кстати, будучи недавно в Москве, практически не видел наклеек СТБ. Система умирает?

                                      Комментарий


                                      • #20
                                        Америкосы любят пугать свой народ и весь мир тем чего на самом деле нет.
                                        Последний случай , к нам летит астероид в 2019 упадет на землю.
                                        Интересно кто нибудь сам пробовал ПИН блок перехватить или или все треки считать?
                                        ATMMASTER

                                        Комментарий


                                        • #21
                                          eFinansist
                                          высоко-технические меры типа использования шифрования программного обеспечения
                                          официальные лица типа Эванса признают
                                          Перевод-то так-себе...
                                          Кстати, а что в этих статьях того, о чём мы раньше не слышали? То, что во всём виновата "Русская мафия?". Вы извините, но обсуждать сей перл ничуть не интереснее, чем фразу "жиды Россию продали".

                                          Комментарий


                                          • #22
                                            atmmaster Смотря откуда перехватить. Вдумчивое рассматривание трасс d912 входит в мои служебные обязанности А уж треки читать... Рассказать как?

                                            Комментарий


                                            • #23
                                              #paul

                                              перевод не мой. За что взял, за то и продал.

                                              Кстати, а что в этих статьях того, о чём мы раньше не слышали? То, что во всём виновата "Русская мафия?". Вы извините, но обсуждать сей перл ничуть не интереснее, чем фразу "жиды Россию продали".

                                              Развернувшееся живое обсуждение говорит не в пользу Вашей версии.

                                              И повторю ещё один свой вопрос - что, никто не расскажет про недавно взятого мошенника? Которого с картами с пинами взяли?

                                              Комментарий


                                              • #24
                                                Вообще идея с подставным банкоматов стара как мир...
                                                Я помню еще лет 10 назад приводился этот пример в какой-то популярной
                                                книжке про хакеров (названия не помню). Проблема эта всегда существует,
                                                когда человек определяет подлинность устройства по внешним признакам
                                                этого устройства. Общеизвестны способы перехвата паролей созданием
                                                подставных окон логина в систему и т.д. Идея может быть только в том, что
                                                ATM как-то доказвает свою подлинность. Причем эта подлинность должна
                                                гарантироваться МПС. Т.е., например, есть hotline в VISA, который удостоверяет,
                                                что данный ATM установлен именно в этом месте и имеет данный номер, хотя
                                                и здесь можно унести нормальный и поставить подставной, но это уже должен
                                                мониторить соответствующий банк-эквайрер.
                                                Nick_st

                                                Комментарий


                                                • #25
                                                  doctor64 Вдумчивое рассматривание трасс d912 входит в мои служебные обязанности А уж треки читать... Рассказать как?
                                                  Вы их на хосте читаете , а не на банкомате
                                                  а что у вас между банкоматом и хостом трафик не криптованый?
                                                  ATMMASTER

                                                  Комментарий


                                                  • #26
                                                    atmmaster Я их рассматриваю именно на банкомате. Работа такая (c) волк из мультика. А к вашему сведению, в D912 нет возможности криптовать траффик. Подписывать можно. Криптовать нет. Все сказали спасибо Диболду за наше счастливое детство. И 2(или какой там указан в FIT) трек спокойно себе передается в CREQ. Все описанно в TP-799387. И стандартные диболдовские tcp/ip бриджи тоже не криптуют. А про чтение треков... Включить трассу в css и периодически ее забирать с банкомата - пара пустяков.

                                                    Комментарий


                                                    • #27
                                                      eFinansist
                                                      И повторю ещё один свой вопрос - что, никто не расскажет про недавно взятого мошенника? Которого с картами с пинами взяли?
                                                      Про недавнего пока ничего не слышал (наверное немного отстал от жизни). А вот про давнешних кое-что слыхал от ментов с Петровки.
                                                      1. Пару ребят наснимали "немного " деревянного нала и пошли в это же отделение (в стене которого и был установлен банкомат) менять рубли на зелёненькие. Охранник пробдил, ребят обыскали, пластик (естесственно "белый") и денежки отобрали и сдали на Петровку. Сейчас они сидят (срок не помню).
                                                      2. Если память не изменяет, то дело было в Питере (поправте кто знает). В метрополитеновском АТМе парнишка снимал денежки. И толи от счастья что всё получилось, толи руки просто тряслись, он раняет совершенно белый пластик (~ 20 шт.) на пол и как на зло мимо проходил милисыонэр (который немного в этом понимал). Ну и повязали парня.
                                                      Вот так.

                                                      Комментарий


                                                      • #28
                                                        doctor64
                                                        У нас с вами разные модели банкоматов и разные софты ,поэтому спор наш
                                                        безсмысленный.
                                                        Из всех случаев преступлений в этой сфере припоминаются только 3
                                                        1. В золотой короне (гдето уже обсуждали )
                                                        2 . Нормально открыли сейф и унесли кассеты (не обошлось без участия банковских работников)
                                                        3 .Аналогичен случаю 2.
                                                        По статистике 70% преступлений в банковской сфере совершено при участии
                                                        или помощи банковских работников.
                                                        Часто преступления с пластиковыми картами обрастают большим количеством домыслов и небылиц , если у кого нибудь есть знакомый мент опер ,попросите его чтоб порылся в милицейских базах .Вы будете удивлены тем сколько в реальности преступлений в этой сфере.
                                                        ATMMASTER

                                                        Комментарий


                                                        • #29
                                                          Задержан аферист, подделывавший кредитные карты

                                                          22 июля 19:00

                                                          В Москве задержан один из членов международного преступного сообщества, занимающегося фальсификацией кредитных карточек. Аслан Мурадов, уроженец Дагестана, координировал московский участок деятельности синдиката, охватывающего всю Европу и часть арабских стран.

                                                          По оперативным данным, мошенники подделывали кредитные карты в одной из стран Западной Европы и оттуда переправляли своим сообщникам по всему миру. Одним из них и был Аслан Мурадов.

                                                          Сотрудники столичного Управления по борьбе с экономическими преступлениями задержали его с поличным. При Мурадове обнаружено несколько поддельных кредиток на его имя. Эти карточки очень высокого качества. С их помощью мошенник снимал деньги с любых счетов в любых банкоматах города. А также покупал дорогие вещи, золото и аппаратуру.

                                                          За несколько месяцев Мурадов присвоил более 200 тысяч долларов. Любопытно, что никто из россиян не пострадал – деньги уходили исключительно со счетов богатых американцев.

                                                          А подвела мошенника излишняя самоуверенность. В течение месяца он снимал деньги в одном и том же банкомате. Его личность вызвала подозрения у сотрудников банка, и они обратились в управление. Оперативники в течение двух недель фиксировали все его действия и после очередной аферы он был задержан.

                                                          Источник: www.ntvtv.ru

                                                          Комментарий


                                                          • #30
                                                            atmmaster Это не важно. Я говорю о диболдах, потому что их хорошо знаю. Но я уверен, что с остальными производителями дело обстоит точно также. Любой человек, знающий как эта железка работает сможет ее надурить. И пока по моему, банки спасает только честность их работников и обслуживающего персонала. Ну и тупость воров. И самое печальное, что многие банки не используют даже те средства безопасности, которые уже заложены в софт и протоколы. Я могу ткнуть пальцем в один процессинговый софт, использующий ошибку в старых tcs c message sequence number, и то, что в новых версиях эта ошибка вынужденно была возведена в разряд фичи.

                                                            Комментарий

                                                            Пользователи, просматривающие эту тему

                                                            Свернуть

                                                            Присутствует 1. Участников: 0, гостей: 1.

                                                            Обработка...
                                                            X