Ученые из Калифорнийского университета в Сан-Диего исследовали новый
способ хищения ПИН-кодов банковских карт - с использованием инфракрасных
камер, которые измеряют температуру на панели клавиатуры банкомата. Подушечки
пальцев делают клавиши, которые нажимал клиент, теплее, чем остальные.
Температура также позволяет определить и последовательность нажатия -
самая "горячая" клавиша нажималась последней. Используя обратную
последовательность, мошенникам удавалось узнать правильный ПИН-код.
Правда, если пользователь вводит еще и сумму денег, которые он хотел
снять с карточки, то задача злоумышленников усложняется, сообщает SecurityLab. Эксперты
исследовали банкоматы двух типов – один с металлической клавиатурой
(Dynasystem 00-101088-008B), а второй с пластиковой (Diebold
19-019062-001M REV1). С металлических кнопок было сложнее считывать
температуру клавиш посредством инфракрасной камеры, так как изображение
сопровождалось чрезмерным "шумом". Пластиковые кнопки оказались менее
проблемными. ПИН-код удавалось легко похитить человеку, который
стоял в очереди к банкомату за человеком, который только что совершил
операцию с карточкой. В 80% случаев хакерская попытка была успешной. В случаях, когда интервал между пользователями банкомата, составляет одну минуту, шанс заполучить ПИН-код доходит до 50%. Изобретателем
персонального идентификационного номера (ПИН) считается шотландский
инженер Джеймс Гудфеллоу, который в конце 1960-х годов придумал и
запатентовал идею аутентификации предъявителя чека, содержащего
информацию, закодированную с помощью специальных меток. Среди этих меток
был закодирован ПИН, который и сравнивался с номером, вводимым клиентом
на клавиатуре. Пластиковые карты с магнитной полосой появились позже. ПИН
для банковских карт генерируется автоматически одновременно с другой
служебной и защитной информацией: номером карты, CVV\CVC-кодами и т. д.
Одновременно происходит печать ПИН-конверта, который представляет собой
предварительно заклеенную заготовку, состоящую из нескольких слоев
самокопирующейся бумаги. Цифры ПИН-кода печатаются внутри уже
закрытого конверта. После печати память компьютера очищается, чтобы
исключить возможность утечки конфиденциальных данных. Кроме того, по
правилам платежных систем, во время работы в помещении должны находиться
не менее двух сотрудников - для взаимного контроля. В банки карты
и конверты с ПИН-кодами доставляются различными рейсами, в отделениях
они должны храниться раздельно и "встречаться" лишь при выдаче клиенту. В
последнее время ПИН-код нередко сообщается клиенту по телефону через
голосовую интерактивную систему. В ходе процедуры клиент проходит
несколько уровней идентификации, после чего автоматизированная система
формирует цифровой код.
В банках, практикующих такой способ, утверждают, что сотрудники вообще
не имеют доступа к секретным номерам. Банкиры не устают повторять
правила безопасности использования банковских карт, особо подчеркивая
что хищений денег было бы меньше, если бы держатели карт более
внимательно относились к безопасности ПИН-кода. По оценке
экспертов, на использование ПИН-кода приходится примерно 5% случаев
мошенничества с картами. Похищенные таким образом средства банки
практически никогда не возвращают, считая, что клиент сам виноват в
компрометации секретного номера.
|