Карточные фокусы: криминальный бизнес на банкоматах

Кто из нас не знает, что нужно опасаться карманников? Если в детстве осторожности обращения с кошельком на улице не научили папа с мамой, то в воспитательный процесс рано или поздно вмешивается сама жизнь. Та же история со зловредными хакерами в Интернете, про них любой ребенок вам с ходу все расскажет.

Куда меньшей известностью в народе пользуются кардеры, использующие скиммеры. И напрасно — шанс пострадать от их рук весьма велик. Данная разновидность карточных воров специализируется на воровстве реквизитов карт с помощью малозаметного оборудования, размещаемого непосредственно на банкоматах — собственно, скиммеры. Несмотря на координированные усилия полиции, банков и платежных систем, объем умыкаемых с карточных счетов средств ежегодно растет.

Кардеры — это немножко карманники (требуется ловкость рук) и совсем чуть-чуть хакеры: этот вид мошенничества невозможен без использования компьютера и других достижений высоких технологий.

Чтобы попасть в зону интересов преступников, достаточно просто пользоваться банковской картой для снятия наличных. Желательно не оснащенной чипом — это здорово облегчает процесс опустошения вашего счета. Очень неплохо также отказаться от SMS-уведомлений, карту засовывать в первый попавшийся в подворотне банкомат, а PIN-код набирать гордо, так, чтобы все видели. Воры скажут вам большое человеческое спасибо.

А если серьезно, за последнее время этот нелегальный бизнес сильно вырос и усовершенствовался. Суть его осталась прежней: незаметно считать с банковской карты данные магнитной дорожки, подсмотреть PIN-код, сделать клон карты и снять со счета максимум денег. Зато технологии кражи информации очень сильно изменились.

Только бизнес

Если когда-то преступники самостоятельно мастерили скиммеры из подручных компонентов, топорно приспосабливали их к приемным лоткам банкоматов, а потом рисковали быть пойманными в процессе ручного съема данных, то сейчас все обстоит по-другому. Индустрия давно ушла от условно романтического периода взломщиков-самоделкиных, сегодня это отлаженный бизнес с высокой степенью специализации.

http://instagram.com/p/qjfBu7yIIk/

Первый элемент в цепочке — производители и продавцы оборудования: те, кто из доступных на рынке компонентов собирает готовые решения. Взаимодействие с покупателем обычно происходит через Интернет, а товар доставляется по почте — так безопаснее.

Чтобы убедиться в распространенности предложений аппаратуры для скимминга, достаточно набрать несложный запрос в любой поисковой системе. Наборы из устройства, считывающего информацию с пластиковой карточки, предназначенного для скрытной установки, накладки на клавиатуру банкомата (для съема PIN-кода), устройства для клонирования карт и специального программного обеспечения сегодня предлагают уже за $1,5–2 тыс. Пару лет назад подобная техника, по наблюдению известного специалиста в области безопасности Брайана Кребса, могла стоить около десятка тысяч долларов.

Никаких хакерских знаний от покупателя в общем-то не требуется — поставщики обеспечивают не только руководствами пользователя, но и рекомендациями из разряда «best practices». Инструкции настолько подробны, что включают в себя даже советы, как «раскачать» аккумуляторную батарею скиммера перед использованием, чтобы добиться максимальной продолжительности автономной работы!

Чудеса техники

Прогресс технологий и масштабный спрос позволили существенно усовершенствовать криминальную электронику за последние годы. Специалисты по безопасности обычно советуют потребителям осматривать банкомат на предмет каких-то странностей. Но постепенно эти рекомендации начинают теряют свою актуальность.

Во-первых, продукция опытных криминальных поставщиков мало отличается от оригинальных элементов банкомата. Неспециалист просто не заметит разницы между настоящим приемным лотком для карт и его «доработанной» версией — тот же пластик, тот же цвет, только форма немного другая.

Такого сходства добиваются за счет адаптации под конкретные, наиболее распространенные модели банкоматов, благо на любом региональном рынке есть свои банки-фавориты с максимально большим числом банкоматов и клиентов. Разумеется, способы обхода специальных накладок, с помощью которых банки борются с установкой скиммеров, тоже нашлись.

Во-вторых, появились криминальные ридеры, которые просто не видны: их инсталлируют внутрь банкомата через отверстие для карт. Эта новация отмечена в недавнем отчете профильной некоммерческой организации European ATM Security Team. Причем некоторые из подобных устройств даже не утруждают себя самостоятельным считыванием магнитной дорожки карты, а просто нагло паразитируют на электронной начинке банкомата!

Практически невидимый скиммер позволяет преступникам перехватывать данные банковских карточек. http://t.co/En2I9EbETi pic.twitter.com/x5MFAcOcfx

— Kaspersky (@Kaspersky_ru) November 28, 2014

Ручной съем украденных данных тоже становится вчерашним днем. Новые модели скиммеров включают GSM-модуль, отправляющий зашифрованную (защита от конкурентов!) магнитную дорожку на базу через обычную сотовую сеть.

Берегите PIN

До сих пор относительно слабым звеном в цепочке остается получение PIN-кода. Как правило, для этого используются миниатюрные «шпионские» камеры, а иногда и вполне заурядные мобильные устройства вроде плеера iPod Touch — он ценится за тонкий корпус и хороший аккумулятор.

Камера незаметно крепится непосредственно над клавиатурой банкомата или где-то чуть в стороне — особенно любимы кардерами пластиковые лотки и стойки, в которых банки размещают разную маркетинговую макулатуру. Эти элементы интерьера настолько привычны, что глаза потенциальных жертв за них едва ли зацепятся.

Однако если снимающий деньги человек бдительно прикрывает клавиатуру рукой, толку от камеры становится немного. К тому же видеоинформацию не очень удобно передавать и обрабатывать — требуется ручной труд.

Постепенное падение цен на тонкие клавиатурные фальшпанели (сейчас на черном рынке они стоят уже меньше тысячи евро) делает ситуацию более тревожной. Прикрывай клавиатуру рукой, не прикрывай — накладки в любом случае зафиксируют PIN-код. Отправить на базу SMS с четырьмя цифрами тоже намного проще, чем возиться с видео, да и автоматизируется процесс куда лучше.

Клавиатурная накладка, конечно, чуть выступает на несколько миллиметров над оригинальной поверхностью. Но немногие люди будут «обнюхивать» пинпад и высматривать зазоры в его установке. А сверху все выглядит очень прилично — панели стараются делать с применением тех же материалов (сталь, качественная краска), что и оригинальные клавиатуры банкоматов.

Еще одна технологическая уловка из арсенала кардеров — специальная защита используемого ими ПО для декодирования информации и записи карт-клонов. Таким образом преступники страхуют себя от вмешательства конкурентов и поимки правоохранителями.

В ответ на ввод неправильного пароля программа не сообщает, что он неверен, а просто закрывается. Кардер выдает полиции любой правдоподобный пароль и говорит, что это совершенно безобидная программа, которую он недавно скачал. Да вот беда — не запускается. Чтобы доказать, что программа использовалась для незаконной деятельности, потребуется трудоемкий анализ кода, для которого нужны квалифицированные специалисты.

Пять уроков, которые я извлёк из взлома моей кредитной карты (не я лично, а автор статьи :) https://t.co/tdX3dl2DFJ

— Евгений Касперский (@e_kaspersky_ru) November 12, 2014

Впрочем, технологии — это только половина дела. Множество операций в скимминге по-прежнему требуют ручного труда и весьма рискованны. О них мы поговорим во второй части этого материала, а заодно дадим советы, как уберечь свой банковский счет от такого рода преступников.