Теоретический метод «клонирования» EMV-карт стал применяться на практике

Две недели назад специалист компании Cyber R&D Lab Ли-Энн Голлуэй (Leigh-Anne Galloway) представила результаты исследования, посвященного реализации банками карт с чипами EMV. Исследовательница получила 11 EMV-карт от ряда европейских, британских и американских банков и с помощью инструментов, близких к тем, которыми пользуются кардеры, скопировала данные с магнитных лент и без труда создала версии этих карт, но без чипа.

Дело в том, что EMV-карты также имеют магнитную ленту на случай, если ее держатель окажется в стране, где банковские карты с чипами не поддерживаются. О возможности создания оснащенных магнитными лентами «клонов» EMV-карт известно еще с 2008 года, однако данная проблема перестала считаться актуальной, так как предполагалось, что банки перейдут на карты только с чипами, без магнитных лент. До того, как карты с магнитными лентами будут полностью выведены из эксплуатации, банки должны проводить целый ряд проверок безопасности, прежде чем одобрять межтехнологические транзакции. Поскольку многие банки такую проверку не проводят, известная с 2008 года проблема по-прежнему остается актуальной.

По словам Голлуэй, ей удалось осуществить законные транзакции с использованием четырех оснащенных магнитными лентами «клонов» настоящих EMV-карт. Хотя исследовательница упрекнула банки в несоблюдении проверок безопасности при утверждении транзакций, две недели назад эта проблема еще считалась только теоретической.

Все изменилось в четверг, 30 июля, с выходом отчета компании Gemini Advisory. По словам экспертов, они обнаружили на киберпреступных форумах объявления о продаже данных EMV-карт, похищенных, в частности, у клиентов американской сети супермаркетов Key Food Stores Co-Operative и магазина алкогольной продукции Mega Package Store.

Более того, опубликованное в этом месяце уведомление компании Visa подтверждает, что киберпреступники используют данные EMV-карт. Согласно уведомлению, вредоносное ПО для PoS-терминалов Alina POS, Dexter POS и TinyLoader получили новые функции похищения данных EMV-карт. Ранее эти вредоносные программы не собирали такую информацию, поскольку ее нельзя было монетизировать. Однако теперь, похоже, дела обстоят иначе.

По мнению специалистов Gemini Advisory, оба эти факта (появление данных EMV-карт в продаже на хакерских форумах и уведомление Visa) свидетельствуют о том, что кардеры нашли способ использования данных EMV-карт. Вероятно, киберпреступники вооружились описанным 12 назад методом, использовавшимся в исследовании Голлуэй и получившим название EMV-Bypass Cloning.

Блокировать подобный тип мошенничества легко, так как банкам нужно только проводить более тщательные проверки при обработке транзакций с магнитных полос с карт, в которых также есть чип EMV. Как показало исследование Cyber R&D Labs, некоторые банки это делают, а некоторые нет.