"Ta tag och vicka på det" – skumning av bankomatkort är fortfarande en grej

"Ta tag och vicka på det" – skumning av bankomatkort är fortfarande en grej

Tidsstämpel: 14 augusti 2023 7:18
by Paul Ducklin

Det var ett tag sedan vi skrev om kortskimmer, som brukade spela en stor roll i global cyberbrottslighet.

Nuförtiden kretsar många om inte de flesta berättelser om cyberbrott och cyberbrott kring ransomware, darkweb och molnet, eller någon ohelig kombination av de tre.

I ransomware-attacker behöver brottslingarna faktiskt inte närma sig platsen för brottet personligen, och deras utbetalningar extraheras online, vanligtvis med hjälp av pseudoanonyma teknologier som darkweb och kryptomynt.

Och i vissa molnbaserade cyberbrott, särskilt de som allmänt kallas försörjningskedjeattacker, de kriminella behöver inte ens komma åt ditt nätverk alls.

Om de kan hitta en tredje part som du regelbundet laddar upp värdefull data till, eller som du rutinmässigt laddar ner betrodd programvara från, så kan de gå efter den tredje parten istället och göra skadan där.

I de senaste cyberutpressningsattackerna har dussintals stora varumärken utpressats på grund av stulen personal- och kunddata, även om den informationen stulits indirekt.

I MOVEit attackerar, till exempel, stals data från tjänsteleverantörer som lönebearbetningsföretag, som hade använt buggyfilöverföringsprogram för att acceptera förment säkra uppladdningar från sina egna kunder.

Utan att veta av både företagen som till slut blev utpressade och lönehanteringstjänsterna de använde, tillät MOVEIt-filöverföringsmjukvaran även skurkar att utföra otillåtna nedladdningar av lagrad data.

In-your-face cyberbrottslighet

Kreditkortsskumning är däremot ett mycket mer in-your-face brott, både för förövarna och deras offer.

Kortskummare syftar till att läcka den privata information som är avgörande för ditt bankkort, i samma ögonblick som du använder kortet.

Notoriskt är att kortskimmare inte bara letar efter data som lagras på själva kortet utan också efter PIN-koden som fungerar som din andra autentiseringsfaktor.

Oavsett om ditt kort har en lättklonad magnetremsa, eller ett säkert chip som inte kan klonas, eller bådadera, lagras din PIN-kod aldrig på eller i själva kortet.

Skimmande brottslingar använder därför vanligtvis dolda miniatyrkameror för att snoka ut din PIN-kod live när du skriver in den.

Ironiskt nog är kanske bankautomater, mer kända som bankomater, en perfekt plats för kortskimningsutrustning.

Uttagsautomater tar nästan alltid tag i ditt kort mekaniskt och drar det rakt in i maskinen, utom syn- och räckhåll.

(Tydligen beror det på två huvudorsaker: för det första för att den processen tenderar att skära av alla falska ledningar som löds på kortet och som kan ansluta det till omvärlden medan det används, och för det andra för att banken kan konfiskera kortet om den tror att den kan ha blivit stulen.)

Med andra ord, att lägga till en falsk magstripe-läsare till en bankomat är generellt sett mer effektivt än att göra samma sak på vilken som helst klick-för-betal- eller chip-and-PIN-terminal, där hela magstripen aldrig passerar in i eller över läsaren.

Uttagsautomater frågar alltid efter din PIN-kod och har ofta massor av praktiska ytfunktioner där en liten kamera kan döljas i osynligt.

När säkerhetsåtgärder har motsatt effekt

I en annan ironi är väl upplysta banklobbyer som syftar till att ge en lugnande miljö ibland en bättre plats för kortskimmer än svagt upplysta bankomater på sidogator.

I ett fall som vi minns, hade bankomatlobbyn i en byggnad i centrum som betjänade flera banker försetts med en "säkerhetsdörr" efter öppettider för att få kunderna att känna sig säkrare.

Dörren var avsedd att hindra vem som helst från att hänga bland bankomater hela natten, eftersom blivande bankomater var tvungna att dra ett bankkort av något slag vid ingången för att få första åtkomst.

Snarare än att förbättra säkerheten gjorde detta dock saken värre, eftersom skurkarna helt enkelt monterade en dold kortläsare på själva dörren, och på så sätt lät informationen från alla bankers kort innan några kunder nådde de faktiska uttagsautomaterna.

Dessutom kunde skurkarna använda en dold kamera i lobbyn, snarare än limmade på någon specifik bankomat, för att se upp för användarnas PIN-koder.

Liksom de ovannämnda MOVEit-attackerna, där företag fick sina trofédata stulna utan att deras egna datorer var tillgängliga alls, återställde dessa skurkar bankomatkortdata och matchande PIN-koder för flera olika banker utan att fysiskt röra en enda bankomat.

I ett annat fall som vi känner till, filmade skurkarna i hemlighet PIN-koder vid en bankomat i en banks egna lokaler genom att placera sin övervakningskamera inte på själva uttagsautomaten, som personalen var utbildad att kontrollera regelbundet, utan längst ner i en företagsbroschyrhållare på väggen bredvid bankomat.

Personalen, verkade det, oavsiktligt hjälpte brottslingarna genom att plikttroget fylla på broschyrhållaren varje gång det tog slut på marknadsföringsmaterial, vilket ger en bokstavlig täckning för det dolda facket längst ner där spionkamerans hårdvara var undangömd.

Skimmers fortfarande i branschen

Tja, ATM-skimming är fortfarande mycket en pågående cyberbrottslighet, liksom rapporterade under helgen av Brisbanepolisen i Queensland, Australien, där tre män nyligen greps för en rad skumningsrelaterade brott.

Bysten verkar ha gått ner ungefär så här:

  • 2023-07-31: Skimningsanordningar hittades i ett avlyssnat postpaket. Det ser ut som om paketet var adresserat till en obefintlig person, vilket förmodligen ger de boende på leveransadressen rimlig förnekelse om de blev överfallna när paketet kom.
  • 2023-08-02: Intrång i bankomat polisanmäld av en lokal bank. Som nämnts ovan sopar finansiella institutioner regelbundet sina uttagsautomater efter tecken på manipulering eller delar som har fastnat. Skimming-enheter tillverkas vanligtvis på beställning, vanligtvis 3D-gjutna av plast för att passa över specifika modeller av bankomater och prydda med ord, symboler eller märkesmärken som behövs för att matcha bankomaten de ska fästas vid.
  • 2023-08-03: Cyberbrottsdetektiver på vakt märkte två män som närmade sig den utsatta bankomaten. Vi antar att banken medvetet tog den anslutna uttagsautomaten ur drift och därmed inte bara hindrade kunder från att aktivt skummas, utan också föreslår skurkarna att om de ville hämta ut skummaren så borde de agera snabbt innan bankomaten besöktes för "reparation" och enheten hittades och konfiskerades.

Efter en kort men snabb fotjakt genom Brisbanes populära Queen Street Mall, greps de flyende misstänkta och arresterades.

Med en husrannsakan nu i handen för leveransadressen på det avlyssnade paketet, gjorde polisen ett besök och påstår att de hittat "två pin-hole kameror och flera bedrägliga identifieringsobjekt, inklusive bankkort, och bilder av en licens och pass."

Kamerorna, säger polisen, var gömda inuti bankmärkta bankomatdelar.

Enligt polisen råkade ett av de falska ID:n som återfanns i razzian precis matcha namnet på det avlyssnade paketet som innehöll skumningsanordningar.

Det var då den tredje misstänkte greps.

Vad göra?

För att få en uppfattning om vad du ska hålla utkik efter på misstänkta uttagsautomater, varför inte titta på utvalda videofilmer från bysten, som posted av Queensland Police?

Skimming-hårdvarukomponenterna dyker upp på slutet, efter några bodycam-bilder av de misstänkta som blivit översynade och fastnade i fotjakten, komplett med ljudet av handbojor som klickar igen:

Polisen lade inte in några kända föremål med skumpanelerna för en känsla av skala, men vi gissar att de blå plastpanelerna du kommer att se, inuti en av dem är gömd vad som ser ut som en inbäddad hyllplan system-on-chip moderkort, är utformade för att sitta bredvid kortplatsen där du sätter in ditt ATM-kort.

Vi gissar att den tvåfärgade blå matchar bankens egna färgschema, med den gula pilen som pekar mot kortfacket.

Som nämnts ovan tillverkas skumningsenheter ofta på beställning för att matcha bankens nuvarande varumärke och bankomater som skurkarna riktar sig till, vilket gör dem svårare att upptäcka än några av de generiska, beigefärgade panelerna som vi har sett. tidigare, som den här från en Queensland Police byst tillbaka 2012:

"Ta tag och vicka på det" - ATM-kortskimning är fortfarande en sak PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.
Den röda pilen pekar på spionhålet i falska öppningar.

Eller råd är:

  • Var inte blyg för att noggrant inspektera ATM-hårdvara och din omgivning. Håll ögonen ända upp till ytan om du inte är säker på om någon viss del verkligen hör hemma.
  • Täck alltid knappsatsen helt när du anger din PIN-kod. Gör detta även när du är inne på en bank och det tydligen inte finns någon annan i närheten.
  • Ta tag och vicka om du är osäker. Håll utkik efter delar som inte riktigt passar ordentligt, som inte matchar den ursprungliga designen eller som uppenbarligen inte är en del av den ursprungliga bankomatens konstruktion.
  • Om du ser något, säg något. Ange inte din PIN-kod. Återställ ditt kort, gå tyst därifrån och kontakta din lokala polis eller ring den berörda banken. Använd ett nummer från ditt kort eller ett tidigare kontoutdrag, eller i värsta fall ett kontaktnummer som visas på bankomatens egen skärm. Ring inte några nummer som är kopplade till eller visas bredvid bankomaten, eftersom skurkarna kunde ha lagt dem där själva.

Som alltid, titta innan du hoppar..

Tidsstämpel:

Mer från Naken säkerhet