Abo
  • Services:
Anzeige
Artema Hybrid Terminal
Artema Hybrid Terminal (Bild: Verifone)

Verifone: EC-Kartenterminals in Deutschland gehackt

Artema Hybrid Terminal
Artema Hybrid Terminal (Bild: Verifone)

Hackern ist es gelungen, ein EC-Terminal von Verifone von außen anzugreifen und die Kartendaten sowie Geheimnummern auszulesen. 300.000 dieser Geräte stehen in Geschäften in Deutschland, die Lücke soll seit März 2012 bekannt gewesen sein.

Hacker konnten EC-Kartendaten samt Geheimnummern an einem Gerät von Verifone auslesen. Das ARD-Magazin Monitor hat dies unter Aufsicht von Gutachtern versuchsweise vorgeführt. Das Kartenlesegerät wurde von außen über die LAN-Verbindung angriffen und Kartendaten sowie Geheimnummern kopiert. Damit ließen sich neue EC-Karten produzieren, um im Ausland Geld abzuheben oder im Internet einzukaufen.

Anzeige

Rund 300.000 dieser Geräte stehen in deutschen Geschäften, berichtet Monitor. IT-Experte Karsten Nohl von der Berliner Firma Security Research Labs sagte, es könnten "theoretisch viele Terminals auf einmal gehackt werden." Der Kartenleser kann mittels Pufferüberlauf im Netzwerk-Stack angegriffen werden, um den Applikationsprozessor zu übernehmen. Der Angreifer bekam so Zugang zum Terminal und konnte den Applikationsprozessor, das Eingabefeld für die PIN und das Display kontrollieren und die PIN abfangen.

Verifone bestätigte gegenüber Monitor die Sicherheitslücke. Der Hersteller sei dabei, für die Geräte "ein Softwareupdate zu erstellen", um die "Verwundbarkeit" zu beheben.

Auch der Branchenverband Deutsche Kreditwirtschaft erklärte Monitor: "Der Hersteller ist (...) angehalten, kurzfristig ein Software-Update (...) bereitzustellen."

Doch laut Monitor ist die Sicherheitslücke dem Hersteller und den Banken seit Monaten bekannt. Security Research Labs habe Verifone schon im März 2012 darüber informiert.

Ulrike Meyer, Professorin für IT-Sicherheit an der Rheinisch-Westfälischen Technischen Hochschule Aachen, forderte: "Es muss jetzt eine ganze Reihe Dinge passieren, an verschiedenen Fronten. Zum einen ist der Hersteller von dem EC-Terminal gefragt, dass er versucht, diese existierende Lücke zu patchen. Wenn das nicht möglich ist, müssen natürlich neue Geräte verteilt werden. Langfristig muss geschaut werden, was in dem Zertifizierungsprozess fehlgeschlagen ist."

In Deutschland waren 2010 rund 670.000 Kartenterminals in Betrieb und 97 Millionen EC-Karten im Umlauf.

Nachtrag vom 12. Juli 2012, 12:16 Uhr

Laut Bundesverband der deutschen Volksbanken und Raiffeisenbanken ist das Artema-Hybrid-EC-Terminal des Herstellers Verifone betroffen. "Grundsätzlich haften Kunden nicht für Schäden aus einem Angriff, bei dem ihre Kartendaten ausgespäht und diese außerhalb des Girocard-Systems auf Magnetstreifenbasis (beispielsweise im außereuropäischen Ausland) missbräuchlich verwendet wurden", betonte der Verband.

Karsten Nohl von Security Research Labs betonte im Gespräch mit Golem.de, dass der Forscher Thomas Roth die Sicherheitslücke entdeckt habe. Der Angriff könne, so Nohl, nur dann über das Internet erfolgen, wenn Public-IPs für solche Terminals vergeben werden, was praktisch nicht passiert. Nohl: "Wenn es aber gelingt, über das Internet irgendeinen Computer in dem Netzwerk zu hacken, dann können natürlich auch alle Kassenterminals gekapert werden."

Security Research Labs: Ein Patch hilft nicht

Auch bei lokalen Angriffen sei das Ziel, eine Malware auf dem Terminal laufen zu lassen. "Die serielle Schnittstelle und die JTAG-Schnittstelle des Applikationsprozessors prädestinieren sich für lokale Angriffe. Vor allem die JTAG-Schnittstelle, weil es hier keinen Softwarepatch geben kann, der die Lücke schließt. Der Prozessor bietet keine Möglichkeit, die Schnittstelle abzuschalten. Man operiert mit JTAG unterhalb der Software, darum kann sich die Software davor nicht schützen", sagte Nohl. Selbst wenn 300.000 Geräte einen Patch hätten, könne die Lücke nicht geschlossen werden. "Per Softwareupdate ist nur ein Angriff aus irgendeinem Keller im Ausland abzuwehren, bei dem tausende Terminals auf einmal gehackt werden."

Lokale Angriffe seien auch durch ein Ablenkungsmanöver möglich, wenn der Kartenleser beispielsweise im Café auf den Tisch gestellt wird. "Ab da kann er dann alles abgreifen", erklärte Nohl.


eye home zur Startseite
Frank1965 23. Jul 2012

In der aktuellen c't ist ja auch ein Artikel zu dem Thema drin. Das kann man auch...

Endwickler 13. Jul 2012

Also da bekommt man gebrauchte PC's aber billiger. :-)

Local_Horst 13. Jul 2012

Da bräuchte man gar nicht auf der Platine rum braten. Mit efuses wäre es kein Problem...

Ampel 13. Jul 2012

Detaillierte Beweise ,Log dateien ( ausdrucke) und ein Testaufbau vor dem Richter der...

Ampel 13. Jul 2012

Leider ist es das problem schlechthin !. Die Datenübertragungen werden heutzutage gro...



Anzeige

Stellenmarkt
  1. über Hays AG, Baden-Württemberg
  2. NRW.BANK, Düsseldorf
  3. über Ratbacher GmbH, Stuttgart (Home-Office möglich)
  4. Thalia Bücher GmbH, Hagen (Raum Dortmund)


Anzeige
Top-Angebote
  1. (u. a. 3x B12-PS 120mm für 49,90€, 3x B14-1 140mm für 63,90€)
  2. (u. a. 5€ Gratis-PSN-Guthaben zur PlayStation-Plus-Mitgliedschaft)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Kritische Bereiche der IT-Sicherheit in Unternehmen
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing
  3. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. Nintendo

    Super Mario Run für iOS läuft nur mit Onlineverbindung

  2. USA

    Samsung will Note 7 in Backsteine verwandeln

  3. Hackerangriffe

    Obama will Einfluss Russlands auf US-Wahl untersuchen lassen

  4. Free 2 Play

    US-Amerikaner verzockte 1 Million US-Dollar in Game of War

  5. Die Woche im Video

    Bei den Abmahnanwälten knallen wohl schon die Sektkorken

  6. DNS NET

    Erste Kunden in Sachsen-Anhalt erhalten 500 MBit/s

  7. Netzwerk

    EWE reduziert FTTH auf 40 MBit/s im Upload

  8. Rahmenvertrag

    VG Wort will mit Unis neue Zwischenlösung für 2017 finden

  9. Industriespionage

    Wie Thyssenkrupp seine Angreifer fand

  10. Kein Internet

    Nach Windows-Update weltweit Computer offline



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Gigaset Mobile Dock im Test: Das Smartphone wird DECT-fähig
Gigaset Mobile Dock im Test
Das Smartphone wird DECT-fähig

Civilization: Das Spiel mit der Geschichte
Civilization
Das Spiel mit der Geschichte
  1. Civilization 6 Globale Strategie mit DirectX 12
  2. Take 2 GTA 5 saust über die 70-Millionen-Marke
  3. Civilization 6 im Test Nachhilfestunde(n) beim Städtebau

Oculus Touch im Test: Tolle Tracking-Controller für begrenzte Roomscale-Erfahrung
Oculus Touch im Test
Tolle Tracking-Controller für begrenzte Roomscale-Erfahrung
  1. Microsoft Oculus Rift bekommt Kinomodus für Xbox One
  2. Gestensteuerung Oculus Touch erscheint im Dezember für 200 Euro
  3. Facebook Oculus zeigt drahtloses VR-Headset mit integriertem Tracking

  1. Re: Diese ganzen angeblichen F2P sollte man...

    Test_The_Rest | 19:37

  2. Re: Uuund raus

    stoneburner | 19:29

  3. Re: mit Linux...

    Keep The Focus | 19:29

  4. Re: Eigentlich reicht auch der Entzug der...

    stoneburner | 19:26

  5. Macht viel Sinn

    chithanh | 19:17


  1. 17:27

  2. 12:53

  3. 12:14

  4. 11:07

  5. 09:01

  6. 18:40

  7. 17:30

  8. 17:13


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel