magazine voor computer techniek - F&L Publications

magazine voor
computer
techniek
FeiteN
Waarom c’t
• Het dat zich inhoudelijk bezighoudt
met de nieuwste technologische
ontwikkelingen op computergebied
• artikelen worden geschreven op een
toon die webdesigners aanspreekt en
voor hen begrijpelijk is
• diepgaande achtergrondartikelen en
showcases waar designers hun eigen
werk kunnen laten zien
• gemaakt door een ervaren en
enthousiast team dat weet waar ze het
over heeft
home
• Hippe gadgets en lifestyle-artikelen, het
leven moet tenslotte ook leuk zijn
• Bereidheid om te luisteren naar de
ideeën, behoeftes en wensen van het
lezerspubliek
• Het enige high-end
computermagazine in Nederland
www.ct.nl
veral waar je een pinpas gebruikt, is
het tegenwoordig uitkijken geblazen.
Voor je het weet, heeft iemand de ge-
gevens van je pinpas buitgemaakt en valt het
geld op je bankrekening ten prooi aan dieven.
De laatste maanden stonden de kranten vol
van gevallen van ‘skimming’, zoals deze vorm
van pinpasfraude heet. In Nederland sloegen
skimmers dit jaar een keer of tien toe, schat
Currence grofweg bij monde van woordvoerder
Bob Goulooze. Currence heeft geen recentere
officiële cijfers dan 2005, toen er volgens
hen voor 3,7 miljoen euro met pinpassen werd
gefraudeerd (tegen 4,9 en 5,5 miljoen de jaren
daarvoor [1]), maar onze suggestie dat het
verschijnsel sindsdien weer vaker voorkomt
noemt hij “niet geheel onterecht”. Op een
totaal van 1,5 miljard transacties lijkt het niets,
maar Recherchebureau Ultrascan noemt
extreme bedragen: in een artikel van de krant
De Morgen beraamt het de jaarlijkse schade
door skimming op zo’n 600 miljoen euro.
Als klant merk je niet dat je geskimd bent.
Je denkt dat je ‘gewoon’ ergens betaald hebt
of geld opgenomen hebt en je hebt je pinpas
nog. De misdaad komt pas weken later
aan het licht, als blijkt dat criminelen in Parijs
je rekening hebben leeggehaald met een
kopie van je pinpas. De banken onderkennen
het probleem en vergoedden tot nu toe
de schade van alle slachtoffers, maar er is tot
nu toe nog geen oplossing.
De daders, die opvallend vaak uit Roemenië
en Bulgarije komen, opereren in bendes en
zijn in zowel Nederland als Duitsland actief.
Bij bankautomaten werkt de truc als volgt: op
een onbewaakt ogenblik monteert een handige
jongen een extra mini-EC-kaartlezer op
de geldautomaat. Deze leest informatie van
de magneetstrip op je bankpas. Bij geldautomaten
wordt die mini-lezer gewoon met dub-
belzijdig plakband van buitenaf bevestigd op
de invoersleuf van de geldautomaten (zie de
foto’s). Voor een ongeoefend oog is het ding
nauwelijks te herkennen, omdat zowel de
vorm als de kleur doorgaans keurig passen bij
de geldautomaat. Soms plaatsen bendes zelfs
een compleet nieuwe staalplaat op een pinautomaat,
met daarachter een eigen elektrische
schakeling met een microcontroller. De gelezen
pasgegevens worden opgeslagen en na
het ontmantelen van de hele installatie, doorgaans
slechts enkele uren later, gekopieerd
naar een pc. Soms wordt de informatie zelfs
draadloos naar de criminelen gestreamd, die
relaxed met een kopje koffie in een dichtbij
geparkeerde auto zitten te wachten.
Omdat er onder andere in Rome nog pinautomaten
in gebruik zijn waarbij geen pincode
nodig is om geld op te nemen, is het skimmen
(Engels voor ‘afschuimen’) van de magneetstrip
op de pinpas in principe voldoende om
iemands bankrekening leeg te kunnen roven.
Maar minder reislustige skimmers hebben
geen enkel probleem met ingrijpendere tegenmaatregelen.
Bulgaarse skimmers gebrui-
ken een goed verborgen camera die door een
gaatje op het toetsenbord loert. De opnames
worden op een flash-chip bewaard. Meestal
zit deze camera bovenin de automaat, tussen
wat stickers die de aandacht moeten afleiden,
of onderin een ogenschijnlijk onbeduidend
bakje folders. Roemeense skimmers bevestigen
een dun namaaktoetsenbord bovenop
het bestaande. Daarmee worden alle toetsaanslagen
gelogd en doorgestuurd.
Om ervoor te zorgen dat de skimmingmodules
niet opvallen, worden ze op maat
gemaakt voor bepaalde bankautomaten,
zoals de Wincor-Nixdorf ProCash 2050 en
enkele apparaten van NCR. Sinds 2005 hebben
de Nederlandse banken op veel pinautomaten
voorzetmondjes geplaatst, zodat
het beduidend moeilijker is voor skimmers
om daar weer een onopvallende eigen lezer
op te monteren. In dat jaar daalde de hoeveelheid
fraude dan ook flink. Volgens de
Nederlandse Vereniging van Banken [2] is het
aantal gevallen van skimming op bankautomaten
sinds het derde kwartaal van 2007
zelfs “vrijwel nihil, mede door het opvoeren
44 c’t 2008, Nr. 0102
van de beveiliging”. In Duitsland (waar de
foto’s bij dit artikel gemaakt zijn) en België zijn
die voorzetmondjes nog geen gemeengoed.
Het skimmen van pinpassen gebeurt al sinds
circa 2002, maar in Nederland is het de afgelopen
twee jaar naar een geraffineerd niveau
geëvolueerd. De criminelen richten zich niet
meer op geldautomaten, maar op de betaalautomaten
in doodnormale winkels. Het
komt voor dat een medewerker je om je pas
vraagt en deze vervolgens door twee kaartlezers
haalt, een normale en een tweede die
de gegevens bewaart om een kopie te kunnen
maken. Het kan nog brutaler: soms wordt
klanten gevraagd om zelf hun PIN twee keer
in te toetsen, de tweede keer echter op het
skimming-apparaat. Niet veel mensen zullen
dat weigeren.
Meestal hebben de consument en de verkoper
niet in de gaten dat er geknoeid is met
een bestaande PIN-betaalterminal (algemener
heet deze ook wel point-of-sale-terminal
of POS-terminal). De afgelopen maanden
werden op allerlei plaatsen gehackte POSterminals
aangetroffen; bij winkelketens
zoals de Praxis, de Xenos en de Intratuin,
bij wegrestaurants en bioscopen. In al deze
gevallen was er in de filialen ingebroken en
hadden de inbrekers de originele EC-kaartlezers
bij de kassa’s voorzien van extra modu-
les die alle ingetoetste gegevens bewaarden.
Zelfs kaartjesautomaten van de Nederlandse
Spoorwegen werden voor dit doel gemanipuleerd.
Om een indruk te geven: in een
geval was zo’n POS-terminal vier weken in
gebruik, werden er gegevens van 560 kaarten
op bewaard en bedroeg de totale schade
850.000 euro.
ctNL080102_044046_skim_ok.indd 44 03-12-2007 14:26:52 ctNL080102_044046_skim_ok.indd 45 03-12-2007 14:27:02
c’t lezerSpubliek
• Mannen en vrouwen tussen de 18 en 35 jaar met een
interesse in ontwerpen
• Professionals of geavanceerde hobbyisten/studenten
• Continu op het web, eigen breedbandverbinding
• Bekend met HTML, Flash, Photoshop, CSS etc.
• Ervaren computergebruikers met een eigen Mac of pc
• Behalve computers ook geïnteresseerd in andere vormen
van techniek
• Zijn bereid om hun kennis uit te breiden naar alle aspecten
van web en nieuwe media
Bron: LKA Niedersachsen
c’t 2008, Nr. 0102
De klanten ontdekten weken later spookopnames
op hun rekeningoverzicht en namen
contact op met hun banken. Die vroegen
vervolgens verdere informatie aan bij Equens,
dat een groot deel van het Nederlandse betalingsverkeer
bewaakt met een zogenaamde
‘neurale computer’. Equens kan nuttige informatie
afleiden uit het tijdsbestek waarin
en de locatie waar geldopnames hebben
plaatsgevonden. In enkele gevallen kan zelfs
besloten worden om passen preventief te
blokkeren en soms gaat Equens in samenwerking
met Justitie of het Openbaar Ministerie
tot een onderzoek over. Nadat het voor de
banken duidelijk was dat het fraude betrof,
kregen de gedupeerde klanten hun gestolen
geld vergoed. Ze kregen een nieuwe pas en
de banken draaiden voor de schade op.
Tot nu toe pakken banken skimming aan met
ad-hocmaatregelen, zoals voorzetmondjes en
camerabewaking bij automaten. In augustus
besloot PIN-autoriteit Currence dat een veelgebruikte
fraudegevoelige betaal terminal, de
Hypercom HFT 201 (PS201), vanaf juli 2008
niet meer mag worden gebruikt. Woordvoerder
Goulooze noemt de PS201, die al begin
jaren ‘90 is ontwikkeld, “de Windows 95 onder
de POS-terminals”. Het is de taak van Currence
om dit soort terminals te certificeren en de
certificaten voortaan nog maar vijf keer jaarlijks
te verlengen. Het certificaat van de PS201
is op deze manier dus voortijdig niet verlengd.
Goulooze noemt deze noodmaatregel
“afdoende” en hij roept ondernemers op het
apparaat zo snel mogelijk te vervangen. “Ze
riskeren enorme imagoschade, dat hebben
c’t Brains ‘n Bytes
45
Bron: LKA Bayern