Обнаружена новая скимминговая схема? Мнение экспертов

Уязвимость связана с перехватом пакетов по сетевому кабелю, связывающему банкомат с банковскими системами. Устройство устанавливается злоумышленниками «в разрыв» кабеля и позволяет перехватывать передаваемые данные карт.

«Для получения PIN-кода карты в банкоматах NCR используется классическая скимминговая накладка на клавиатуру, а в банкоматах Diebold – миниатюрная скрытая камера. Эксперты считают, что для перехвата данных используется модифицированный микрокомпьютер Raspberry PI с двумя сетевыми разъемами и WiFi-адаптером, оснащенный операционной системой Kali Linux с установленным ПО для перехвата данных Wireshark. Стоимость такого микрокомпьютера в сборе не превышает 50 долларов.

Как такая схема стала возможной? Теоретически при передаче данных карты должно использоваться шифрование, и перехват пакетов был бы бесполезен до того момента, как скиммеры подобрали бы 256-битный AES-ключ (что даже с использованием квантовых компьютеров для перебора вариантов потребовало бы 10,79*1018 лет, в 785 млн раз больше, чем возраст видимой части вселенной). Однако PCI DSS 4.1 требует использования шифрования только при использовании открытых каналов, а сети банкоматов и EMV считаются интранетом – закрытыми внутренними сетями банков. Поэтому данные карт по ним передаются… вообще без шифрования», – отмечается в сообщении.

Информационный портал PLUSworld.ru обратился за комментариями к независимым экспертам.

Глеб Чербов, заместитель директора департамента аудита защищенности Digital Security отметил: "Описанный Брайаном сценарий выглядит весьма правдоподобно. Действительно, такая атака, как пассивное прослушивание трафика между банкоматом и банком возможна, в случае, если не используются средства защиты канала связи, например, шифрование. Виновником подобных обстоятельств можно считать обслуживающий банк, так как в конечном счете именно он принимает решение о доверенности сети, посредством которой производится взаимодействие с банкоматом, от чего в итоге будут зависеть сертификационные требования. Рекомендации по возможности скрывать сетевые кабели от посторонних глаз стандартны для инсталляции любого банкомата, и никоим образом не отменяют необходимости использования защиты канала штатными или дополнительными средствами.

И да, нет такого стандарта PCI DSS 4.1, последняя версия – 3.1».

По мнению Алексея Голенищева, директора дирекции мониторинга электронного бизнеса Альфа-Банка, такая уязвимость каналов передачи данных от банкомата в процессинг действительно есть. «Есть только сомнения, что это используется именно для перехвата данных карт. Т.е. получить данные номера карты и т.д. конечно можно, но совместить их (синхронизировать) с ПИНами, полученными с видеокамеры или накладной клавиатуры – задача, мне кажется, сложная. А в настоящее время, данную уязвимость используют для атаки на банкомат, называемой Host Emulation. Это когда подключенный мошенниками в разрыв сети компьютер, выполняет роль Host процессингового центра, и подменяет от его "имени" ответные команды на запросы снятия наличных, "подтверждая" любую операцию по карте, на которой нет денег и которая может быть вообще заблокирована. 

Да, действительно, защитой от подобной атаки может быть только шифрование канала связи банкомата с процессинговым центром. Это так называемое МАС-шифрование.
Это конечно дополнительные затраты средств и времени, но выбор за банком! Я считаю, что риск достаточно велик, и шифрование канала – необходимо».

По материалам PLUSworld.ru