Клонирование в обход EMV: как это влияет на безопасность чип-карты?

[Tomcat]

Вас когда-нибудь просили в торговом терминале (POS) провести чип-картой EMV по считывателю магнитных полос вместо того, чтобы вставлять ее в считыватель чипов? Если ответ утвердительный, пришло время повысить бдительность. На карту может быть поставлена безопасность ваших финансов. Карты с чипом EMV были представлены как значительная модернизация старых карт с магнитной полосой, в первую очередь для борьбы с мошенничеством. Однако с появлением нового метода эксплойта, известного как клонирование EMV Bypass, система безопасности, обеспечиваемая этими картами, оказалась под угрозой. Вот как?

Что такое чиповые карты EMV?​

Чип-карты Europay, MasterCard и Visa (EMV) представляют собой универсальный стандарт кредитных и дебетовых платежных карт, основанный на технологии чип-карт. В отличие от традиционных карт с магнитной полосой, карты с чипом EMV оснащены встроенным микропроцессором — небольшим компьютером. Этот микропроцессор надежно хранит данные владельца карты и выполняет криптографическую обработку во время платежной транзакции.

Когда вы используете карту EMV для оплаты, карта вставляется или «погружается» в устройство считывания карт. Затем чип на карте связывается со считывателем для ее аутентификации, гарантируя, что она действительна и не была подделана. Этот процесс создает уникальный код транзакции, который нельзя использовать повторно. В результате, даже если данные транзакции были перехвачены, их нельзя было использовать для проведения мошеннических транзакций, что обеспечивает значительное преимущество в безопасности по сравнению с картами с магнитной полосой. За последние два десятилетия внедрение EMV значительно выросло. К концу 2021 года в мире было распространено более 12 миллиардов карт EMV, что составляет более 86% всех платежных карт.

Компоненты технологии EMV​

Технология EMV состоит из нескольких ключевых компонентов, обеспечивающих повышенную безопасность платежных транзакций. Эти компоненты включают в себя:

Микропроцессорный чип​

Встроенный микропроцессор в картах EMV хранит конфиденциальную информацию о держателе карты и выполняет криптографические функции, необходимые для аутентификации транзакций. Эти чипы защищены от несанкционированного доступа и безопасны, что затрудняет извлечение данных преступниками.

Блок данных протокола приложения (APDU)​

Блоки данных прикладного протокола являются важнейшим компонентом протокола связи EMV, обеспечивающим обмен данными между чип-картой EMV и терминалом. Каждый APDU состоит из командного сообщения и ответного сообщения.

С терминала на чип-карту отправляется командное сообщение, содержащее инструкции для карты о выполнении определенных действий. С карты на терминал отправляется ответное сообщение, содержащее результат выполнения команды. APDU разработаны так, чтобы быть безопасными, зашифрованными и легко анализируемыми картой и терминалом, обеспечивая эффективную связь.

Скрипт эмитента​

Сценарии эмитента — это команды, которые эмитент карты отправляет на чиповую карту EMV во время транзакции. Эти сценарии могут обновлять настройки карты, изменять ПИН-коды или выполнять другие административные задачи, помогающие управлять картой и ее функциями безопасности.

Криптограммы​

Криптограммы — это уникальные зашифрованные коды, генерируемые чипом во время транзакции. Они используются для аутентификации транзакции и обеспечения целостности данных. Криптограммы обеспечивают дополнительный уровень безопасности, поскольку они динамичны и уникальны для каждой транзакции, что затрудняет повторное использование данных преступниками в мошеннических целях.

Как работают чиповые карты EMV?​

Процесс карты с чипом EMV предлагает более безопасный метод транзакций, чем традиционные карты с магнитной полосой. Динамический процесс аутентификации и многочисленные этапы проверки усложняют преступникам задачу клонирования или подделки карт.

Вставка карты​

Владелец карты вставляет свою чип-карту EMV в устройство считывания карт терминала, устанавливая соединение между встроенным микропроцессором карты и терминалом.

Обмен данными​

Терминал и чип-карта обмениваются данными с помощью блоков данных протокола приложения (APDU), специально разработанных для безопасной связи между двумя устройствами. APDU состоят из командных сообщений, отправляемых с терминала на чип-карту, и ответных сообщений, отправляемых с карты на терминал. Эти сообщения зашифрованы, чтобы предотвратить несанкционированный доступ к конфиденциальным данным.

Аутентификация терминала​

Чтобы убедиться в легитимности терминала, чип-карта запрашивает сертификат открытого ключа терминала. Терминал предоставляет сертификат, который карта проверяет с помощью открытого ключа эмитента. Этот шаг помогает защититься от мошеннических терминалов, пытающихся получить данные карты.

Аутентификация карты​

Терминал генерирует случайное число и отправляет его на чип-карту. Карта объединяет это случайное число с данными карты и информацией о транзакции для создания уникальной криптограммы. Криптограмма отправляется обратно на терминал, который сверяет информацию, хранящуюся на чипе, чтобы убедиться в подлинности карты и неизменности информации о транзакции.

Проверка держателя карты​

Терминал выполняет проверку владельца карты, которая может включать различные методы в зависимости от предпочтений эмитента карты и возможностей терминала. Эти методы включают ввод личного идентификационного номера (ПИН-кода), предоставление подписи или использование биометрических данных, таких как отпечатки пальцев или распознавание лица. Этот шаг помогает защититься от несанкционированного использования карты.

Авторизация транзакции​

После успешной проверки карты и ее владельца терминал отправляет данные транзакции, включая криптограмму, эмитенту карты для авторизации. Эмитент проверяет криптограмму и другие детали транзакции и одобряет транзакцию, если все оказывается действительным.

Завершение транзакции​

Терминал получает ответ авторизации от эмитента карты, и транзакция завершается. Владелец карты информируется об успешной транзакции, и приобретённый товар или услуга предоставляются.

Функции безопасности технологии EMV​

Технология EMV предлагает несколько важных функций безопасности, предназначенных для защиты от мошенничества:

Динамическая аутентификация​

В отличие от карт с магнитной полосой, которые используют статические данные для легкого копирования, карты с чипом EMV генерируют уникальный одноразовый код для каждой транзакции. Этот динамический процесс аутентификации значительно усложняет преступникам клонирование карт и проведение мошеннических транзакций.

Автономная аутентификация данных​

Карты с чипом EMV могут аутентифицировать данные в автономном режиме, что позволяет им проверять транзакции, даже если терминал не подключен к Интернету. Это снижает риск одобрения мошеннических транзакций из-за взломанных каналов связи.

Проверка держателя карты​

Технология EMV поддерживает различные методы проверки держателей карт (CVM), такие как подпись, PIN-код или биометрия, для дополнительной защиты от несанкционированного использования. CVM, используемый во время транзакции, определяется предпочтениями эмитента и возможностями терминала.

Управление транзакционными рисками​

Чиповые карты EMV могут выполнять управление рисками транзакций, анализируя каждую транзакцию на предмет потенциальных признаков мошенничества. Если транзакция считается высокорискованной, карта может потребовать дополнительной проверки или вообще отклониться.

Эти функции безопасности значительно сократили случаи мошенничества с предъявлением карт в странах, где технология EMV получила широкое распространение. Однако, как показывает рост популярности клонирования в обход EMV, ни одна технология не застрахована от решительных киберпреступников.

Лазейки в чиповых картах EMV​

Карты с чипом EMV обеспечивают значительно более высокий уровень безопасности по сравнению с картами с магнитной полосой. Однако, как говорится, у каждого замка есть ключ; они не застрахованы от атак. Киберпреступники ищут новые способы использования уязвимостей в системе. Некоторые из лазеек или недостатков чиповых карт EMV включают следующее:

Скимминг и шиммирование​

Скимминг предполагает использование устройства для считывания и кражи данных карты с магнитной полосы карты. Shimming, наоборот, нацелен на чиповые карты, вставляя тонкое устройство между чипом и устройством считывания карт, перехватывая связь и крадя данные карты. Эти украденные данные могут быть использованы для создания клонированных карт с магнитной полосой, хотя клонированные карты не будут иметь функций динамической аутентификации, присущих настоящей карте с чипом EMV.

Клонирование обхода EMV​

Этот метод использует уязвимости в процессе связи между чип-картой EMV и платежным терминалом. Мошенники используют скимминговые или шиммирующие устройства для кражи данных с чипа, создания клонированной карты с магнитной полосой, модификации терминала или использования программного обеспечения для обхода функций безопасности чипа, разрешая мошеннические транзакции без подлинного чипа.

Недостатки реализации​

Некоторые уязвимости могут возникнуть из-за неправильного внедрения технологии EMV эмитентами карт, продавцами или производителями терминалов. Эти недостатки могут создать бреши в безопасности, которыми могут воспользоваться мошенники.

Атаки социальной инженерии​

Мошенники могут использовать методы социальной инженерии, такие как фишинг или предлоги, чтобы обманом заставить держателей карт раскрыть конфиденциальные данные карты или персональные идентификационные номера (ПИН-коды). Эта информация позволяет преступникам проводить несанкционированные транзакции или создавать клонированные карты с данными держателя карты.

Что такое клонирование в обход EMV?​

Обходное клонирование EMV включает в себя использование скиммингового устройства для кражи данных с чипа на законной карте EMV и последующее создание клонированной карты с магнитной полосой с той же информацией, что и в оригинале, включая имя владельца карты, номер счета и дату истечения срока действия.

Встроенный чип создает уникальный одноразовый код, когда для транзакции используется карта EMV. Этот процесс, известный как динамическая аутентификация, предназначен для предотвращения повторного использования данных карты. Даже если преступник перехватит данные транзакции, он не сможет использовать тот же код для проведения другой транзакции. Другими словами, они не смогли создать идеальный клон карты, который можно было бы использовать повторно.

Однако с появлением таких методов, как обходное клонирование EMV, преступники нашли способы обойти функции безопасности чипа. Поскольку карты EMV по-прежнему имеют специальную магнитную полосу, это запасной вариант, обеспечивающий совместимость со старыми POS-машинами и странами, не поддерживающими EMV, во время путешествий.

Вместо того, чтобы пытаться клонировать чип, они создают поддельные карты с магнитной полосой, которые обманом заставляют платежный терминал использовать менее безопасный считыватель магнитных полос, минуя меры безопасности чипа.

Как работает клонирование обхода EMV?​

Клонирование обхода EMV предполагает эксплуатацию уязвимостей в процессе связи между чиповой картой EMV и платежным терминалом. Обычно процесс включает в себя следующие этапы:

Скольжение карты​

Мошенники используют скимминговое устройство, чтобы украсть данные с чипа законной карты EMV. Скимминговым устройством может быть модифицированный платежный терминал или отдельное устройство, размещенное над честным аэропортом.

Извлечение данных​

После того как скимминговое устройство захватило данные с чипа, они обычно сохраняются на ноутбуке или смартфоне. Данные можно извлечь с помощью специального программного обеспечения или инструментов.

Создание клонированной карты​

Мошенники могут использовать извлеченные данные для создания карты с магнитной полосой, содержащей ту же информацию, что и оригинал, включая имя владельца карты, номер счета и срок действия.

Обход чипа​

Мошенникам следует избегать функций безопасности чипа EMV, чтобы использовать клонированную карту для мошеннических транзакций. Когда поддельная карта используется в платежном терминале, он посылает ложный сигнал о неисправности чипа. Из-за этой предполагаемой неисправности терминал по умолчанию использует магнитную полосу для обработки транзакции. Магнитная полоса не имеет тех же мер безопасности, что и чип, что позволяет одобрить транзакцию, даже если карта не является подлинной.

Влияние клонирования обхода EMV на потребителей​

Клонирование обхода EMV может иметь различные негативные последствия для потребителей. Вот некоторые последствия, которые могут возникнуть в результате такого рода мошенничества:

Финансовые потери​

Самым прямым воздействием обходного клонирования EMV на потребителей является возможность финансовых потерь. Мошенники могут использовать клонированные карты для совершения несанкционированных транзакций, сливая средства со счета жертвы. Хотя банки и финансовые учреждения часто принимают меры защиты от мошенничества, могут существовать ограничения на покрытие ответственности, в результате чего потребители несут ответственность за часть или все убытки.

Ущерб от кредитного рейтинга​

Несанкционированные транзакции и мошеннические действия могут нанести вред кредитному рейтингу потребителя. Неспособность своевременно обнаружить мошенничество и сообщить о нем может привести к пропущенным платежам, увеличению задолженности и другим негативным факторам, которые могут ухудшить кредитный рейтинг. Испорченный кредитный рейтинг может затруднить потребителям получение кредита, аренду квартиры или даже трудоустройство.

Кража личных данных​

Клонирование в обход EMV может стать воротами к более серьезным формам кражи личных данных. Как только преступники получают доступ к финансовой информации потребителя, они могут использовать ее для открытия новых счетов, подачи заявок на кредиты или совершения других мошеннических действий от имени жертвы. Это может привести к долгосрочным последствиям и решить их будет непросто.

Потеря доверия​

Клонирование обхода EMV может подорвать доверие потребителей к безопасности платежной системы и финансовых учреждений. В результате потребители могут не решаться использовать свои карты для транзакций, вместо этого ища альтернативные способы оплаты.

Время и усилия для решения проблем​

Борьба с последствиями обходного клонирования EMV может занять много времени и вызвать стресс у потребителей. Они должны сообщать о мошенничестве, закрывать скомпрометированные счета, оспаривать несанкционированные платежи и контролировать свои кредитные отчеты. Решение этих проблем может занять значительное количество времени и усилий.

Влияние обходного клонирования EMV на продавцов​

Клонирование обхода EMV также может иметь серьезные негативные последствия для продавцов. Ниже приведены некоторые потенциальные последствия, с которыми могут столкнуться продавцы в результате такого типа мошенничества:

Финансовые потери​

Продавцы могут нести ответственность за мошеннические транзакции, возникшие в результате клонирования в обход EMV, особенно если они не реализуют надлежащие меры безопасности или не соблюдают требуемые стандарты. Это может привести к возвратным платежам, когда продавец должен возместить сумму транзакции владельцу карты, а также к возможным штрафам и пеням.

Потеря репутации​

Случаи мошенничества, в том числе обходное клонирование EMV, могут нанести ущерб репутации продавца. Клиенты могут сомневаться в безопасности платежной системы продавца, а выбор совершать покупки в другом месте приводит к снижению продаж и лояльности клиентов.

Увеличение эксплуатационных расходов​

Борьба с последствиями мошенничества может оказаться дорогостоящей для торговцев. Им, возможно, придется инвестировать в дополнительные меры безопасности, обновить свою платежную инфраструктуру или нанять экспертов, которые помогут снизить риск будущих инцидентов. Кроме того, продавцы могут столкнуться с более высокими комиссиями за обработку платежей из-за повышенного профиля риска.

Правовые и нормативные последствия​

Предположим, что торговая точка не соответствует отраслевым стандартам (таким как PCI DSS). В этом случае им могут грозить штрафы, пени или юридические последствия. Несоблюдение требований также может привести к усилению контроля со стороны регулирующих органов и к более суровым наказаниям в случае будущих нарушений безопасности.

Потеря производительности​

Торговцам, возможно, придется отвлечь ресурсы, в том числе время и персонал, на решение проблем, связанных с мошенничеством. Это может привести к снижению производительности и дополнительным расходам, поскольку продавцы сосредотачиваются на устранении последствий инцидентов с обходным клонированием EMV.

Как потребители могут защититься от клонирования в обход EMV?​

Потребители могут предпринять несколько шагов, чтобы защитить себя от обходного клонирования EMV и минимизировать риск стать жертвой мошенничества:

Регулярно отслеживайте активность аккаунта .​

Просматривайте выписки со своего счета и активность онлайн-банкинга, чтобы быстро выявить несанкционированные транзакции. Если вы заметили что-то подозрительное, немедленно сообщите об этом своему банку или эмитенту карты.

Используйте бесконтактные платежи​

Бесконтактные способы оплаты, включая мобильные кошельки и бесконтактные карты EMV, часто используют дополнительные уровни безопасности, которые усложняют мошенникам клонирование карт. Используя варианты бесконтактной оплаты, вы можете снизить риск стать жертвой обходного клонирования EMV.

Будьте бдительны у POS-терминалов.​

При использовании карты в терминале торговой точки (POS) будьте осторожны с любыми необычными действиями или признаками взлома. Скимминговые устройства могут использоваться для кражи данных карты, которые затем можно использовать для клонирования в обход EMV. Если что-то кажется не так, рассмотрите возможность использования другого терминала или сообщите о проблеме продавцу или эмитенту вашей карты.

Защитите свою карту от физической кражи.​

Храните карту в надежном месте и никогда не оставляйте ее без присмотра. В случае потери или кражи карты немедленно сообщите об этом своему эмитенту, чтобы минимизировать риск несанкционированных транзакций.

Используйте надежные и уникальные PIN-коды.​

Выберите надежный и уникальный ПИН-код для дебетовых и кредитных карт, которым требуется ПИН-код, который нелегко угадать. Избегайте использования легко узнаваемых чисел, таких как дата рождения или порядковые номера. Регулярно меняйте свой PIN-код и никогда не сообщайте его другим.

Будьте осторожны с фишингом.​

Мошенники могут использовать фишинговые электронные письма, текстовые сообщения или телефонные звонки, чтобы обманом заставить вас раскрыть данные вашей карты. Будьте осторожны с нежелательными сообщениями с просьбой предоставить личную или финансовую информацию и никогда не сообщайте данные своей карты непроверенному источнику.

Как потребители могут защититься от клонирования в обход EMV?​

Продавцы могут защитить себя от обходного клонирования EMV, внедрив несколько мер безопасности и передовые методы:

Обеспечить соответствие EMV
Убедитесь, что ваши POS-терминалы соответствуют требованиям EMV и оснащены новейшим программным обеспечением и функциями безопасности. Это может помочь снизить риск появления уязвимостей, которые преступники могут использовать для обхода клонирования EMV.

Обучайте сотрудников
Обучите своих сотрудников правильному использованию технологии чип-карт EMV и потенциальным рискам обходного клонирования EMV. Это может помочь им выявить подозрительную деятельность и предотвратить мошеннические транзакции.

Примите дополнительные меры безопасности.

Помимо соответствия EMV, рассмотрите возможность внедрения других мер безопасности, таких как сквозное шифрование, токенизация и строгий контроль доступа для ваших POS-систем. Эти дополнительные уровни безопасности могут помочь защитить ваш бизнес от мошенничества и финансовых потерь, связанных с обходным клонированием EMV.

Мониторинг транзакций
Внимательно следите за транзакционной активностью и ищите необычные закономерности или признаки потенциального мошенничества. Если вы заметите какую-либо необычную активность, немедленно сообщите об этом своему платежному оператору или компании-эмитенту карты.

Защитите свою сеть
Убедитесь, что ваша бизнес-сеть безопасна и защищена от кибератак. Регулярно обновляйте программное обеспечение, используйте надежные пароли и устанавливайте брандмауэры для предотвращения несанкционированного доступа.

Будьте осторожны с фишингом
Сообщите своим сотрудникам о рисках, связанных с фишинговыми электронными письмами и

Текстовые сообщения или телефонные звонки могут попытаться обманом заставить их раскрыть конфиденциальную информацию или предоставить доступ к вашим системам.

Регулярно проводите аудит безопасности .
Периодически проверяйте свои протоколы безопасности и проводите аудит для выявления любых потенциальных уязвимостей, которые можно использовать для обхода клонирования EMV. Своевременно устраняйте любые выявленные недостатки.

Роль технологий в сдерживании обходного клонирования EMV
Новые технологии, такие как биометрическая аутентификация, искусственный интеллект (ИИ) и блокчейн, открывают значительные перспективы для повышения безопасности чип-карт в будущем. Например, биометрическая аутентификация, такая как отпечаток пальца или распознавание лица, может помочь еще больше улучшить проверку держателей карт и предотвратить несанкционированный доступ к картам.

ИИ может использоваться для анализа транзакций в режиме реального времени, выявления аномалий и закономерностей, которые могут указывать на мошенничество. Это может помочь предотвратить несанкционированные мошеннические транзакции и обеспечить более быстрое и точное обнаружение мошеннической деятельности.

Технология блокчейн, которая обеспечивает децентрализованный, защищенный от несанкционированного доступа реестр транзакций, может повысить безопасность и прозрачность платежей, усложняя киберпреступникам манипулирование или кражу данных транзакций.

Поскольку платежная индустрия продолжает развиваться и сталкивается с новыми угрозами со стороны киберпреступников, крайне важно быть в курсе этих новых технологий и включать их в платежные системы для поддержания доверия и безопасности потребителей.

Безопасные транзакции в цифровом мире
Карты с чипом EMV были разработаны для обеспечения более безопасного способа оплаты, чем карты с магнитной полосой. Однако появились новые угрозы, такие как обходное клонирование EMV, что побудило потребителей, продавцов и платежную индустрию сохранять бдительность в решении этих проблем.

Все заинтересованные стороны должны продолжать работать вместе и быть в курсе новых технологий для повышения безопасности платежей и минимизации мошенничества. Потребители должны активно отслеживать активность своих учетных записей и использовать безопасные способы оплаты, в то время как продавцы должны соблюдать требования EMV и принимать дополнительные меры безопасности. Сотрудничая и опережая развивающиеся угрозы, мы можем обеспечить постоянный успех и безопасность электронных платежей.

(c) https://www.hostmerchantservices.com/articles/emv-bypass-cloning/