Geldautomaten: Forscher kopieren Chipkarten mit dünnen Lesegeräten
Mit der zunehmenden Verbreitung des EMV-Verfahrens zum Schutz vor manipulierten Bankkarten häufen sich die Angriffe auf das System. Wie Mitarbeiter des Sicherheitsunternehmens Rapid7 auf der Hackerkonferenz Black Hat demonstrierten(öffnet im neuen Fenster), lässt sich mit Hilfe spezieller Geräte die Kommunikation zwischen Bankkarten-Chip und Geldautomat auslesen und für eine Plünderung von Geldautomaten verwenden. Dabei kommt offenbar ein sogenannter Shimmer zum Einsatz, wie er bereits vor einem Jahr in Mexiko entdeckt worden war(öffnet im neuen Fenster).
Das sogenannte EMV-Verfahren soll das einfache Klonen von Bankkarten mit Magnetstreifen verhindern. In den USA, Lateinamerika und Asien beginnen Banken aber erst jetzt mit der Umstellung. Kriminelle, aber auch Sicherheitsforscher, suchen daher vermehrt nach Sicherheitslücken in dem System. So war Anfang des Jahres bekanntgeworden, dass auch Karten mit dem Chip-und-PIN-Verfahren kopiert werden können. Missbrauch ist dann möglich, wenn Banken beispielsweise auf eine aufwendige Kryptoprüfung verzichten.
Chipdaten werden mitgelesen
Die Rapid7-Forscher wollten aus Angst vor Nachahmern bei ihrer Präsentation nicht verraten, wie genau sie die Karten gehackt haben. Dem US-Sicherheitsexperten Brian Krebs zufolge(öffnet im neuen Fenster) werden die dünnen Shimmer in den Kartenschlitz geschoben, um die übertragenen Daten zwischen Chip und Geldautomaten mitzuschneiden.
Diese Daten können von Kriminellen offenbar gesammelt und über eine manipulierte Karte, die einen Chip simuliert, wieder in einen Geldautomaten übertragen werden. Es sei nicht nötig, den Geldautomaten dafür zu öffnen, sagte Tim Beardsley von Rapid7. Der Automat könne auf diese Weise angewiesen werden, permanent Geldscheine auszuspucken.
Daten nur kurze Zeit nutzbar
Im Vergleich zu manipulierten Magnetstreifenkarten gibt es aber eine Einschränkung: Der Kartenmissbrauch soll nur wenige Minuten möglich sein, bis die Karte gesperrt wird. Kriminelle müssten daher über ein Netzwerk manipulierter Kartenschlitze verfügen und die Daten kontinuierlich auslesen. Damit könnten dann wiederum andere Automaten geleert werden.
Die dafür erforderliche Hardware kostet der Vortragsankündigung(öffnet im neuen Fenster) zufolge rund 2.000 US-Dollar. Die Forscher bauten mit dem Geld eine Art automatischen Auszahlungsapparat, "La-Cara" genannt. Das Gerät verfüge über ein automatisches PIN-Eingabegerät und ein überschreibbares Chipkartensystem, das zwischen 20.000 und 50.000 Dollar innerhalb von 15 Minuten abheben könne.
Hinter dem Sicherheitsstandard EMV steht ein Konsortium, dem unter anderem Visa und Mastercard angehören. Nach Angaben von Rapid7 haben die Firmen noch keine Anstrengungen unternommen, die Sicherheitslücke zu beheben.
- Anzeige Hier geht es zur VISA Karte mit bis zu 40 Euro Startgutschrift bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.