Verifone: EC-Kartenterminals in Deutschland gehackt

Hackern ist es gelungen, ein EC-Terminal von Verifone von außen anzugreifen und die Kartendaten sowie Geheimnummern auszulesen. 300.000 dieser Geräte stehen in Geschäften in Deutschland, die Lücke soll seit März 2012 bekannt gewesen sein.

Artikel veröffentlicht am ,
Artema Hybrid Terminal
Artema Hybrid Terminal (Bild: Verifone)

Hacker konnten EC-Kartendaten samt Geheimnummern an einem Gerät von Verifone auslesen. Das ARD-Magazin Monitor hat dies unter Aufsicht von Gutachtern versuchsweise vorgeführt. Das Kartenlesegerät wurde von außen über die LAN-Verbindung angriffen und Kartendaten sowie Geheimnummern kopiert. Damit ließen sich neue EC-Karten produzieren, um im Ausland Geld abzuheben oder im Internet einzukaufen.

Stellenmarkt
  1. Digitalisierungsexperte (Smart Factory) und Lean Manager (m/w/d)
    Knauf Gips KG, Iphofen bei Würzburg
  2. IT Manager / Digitalisierungsarchitekt (m/w/d)
    Siedlungswerk GmbH, Stuttgart
Detailsuche

Rund 300.000 dieser Geräte stehen in deutschen Geschäften, berichtet Monitor. IT-Experte Karsten Nohl von der Berliner Firma Security Research Labs sagte, es könnten "theoretisch viele Terminals auf einmal gehackt werden." Der Kartenleser kann mittels Pufferüberlauf im Netzwerk-Stack angegriffen werden, um den Applikationsprozessor zu übernehmen. Der Angreifer bekam so Zugang zum Terminal und konnte den Applikationsprozessor, das Eingabefeld für die PIN und das Display kontrollieren und die PIN abfangen.

Verifone bestätigte gegenüber Monitor die Sicherheitslücke. Der Hersteller sei dabei, für die Geräte "ein Softwareupdate zu erstellen", um die "Verwundbarkeit" zu beheben.

Auch der Branchenverband Deutsche Kreditwirtschaft erklärte Monitor: "Der Hersteller ist (...) angehalten, kurzfristig ein Software-Update (...) bereitzustellen."

Golem Akademie
  1. Ansible Fundamentals: Systemdeployment & -management: virtueller Drei-Tage-Workshop
    6.–8. Dezember 2021, Virtuell
  2. Elastic Stack Fundamentals – Elasticsearch, Logstash, Kibana, Beats: virtueller Drei-Tage-Workshop
    26.–28. Oktober 2021, Virtuell
Weitere IT-Trainings

Doch laut Monitor ist die Sicherheitslücke dem Hersteller und den Banken seit Monaten bekannt. Security Research Labs habe Verifone schon im März 2012 darüber informiert.

Ulrike Meyer, Professorin für IT-Sicherheit an der Rheinisch-Westfälischen Technischen Hochschule Aachen, forderte: "Es muss jetzt eine ganze Reihe Dinge passieren, an verschiedenen Fronten. Zum einen ist der Hersteller von dem EC-Terminal gefragt, dass er versucht, diese existierende Lücke zu patchen. Wenn das nicht möglich ist, müssen natürlich neue Geräte verteilt werden. Langfristig muss geschaut werden, was in dem Zertifizierungsprozess fehlgeschlagen ist."

In Deutschland waren 2010 rund 670.000 Kartenterminals in Betrieb und 97 Millionen EC-Karten im Umlauf.

Nachtrag vom 12. Juli 2012, 12:16 Uhr

Laut Bundesverband der deutschen Volksbanken und Raiffeisenbanken ist das Artema-Hybrid-EC-Terminal des Herstellers Verifone betroffen. "Grundsätzlich haften Kunden nicht für Schäden aus einem Angriff, bei dem ihre Kartendaten ausgespäht und diese außerhalb des Girocard-Systems auf Magnetstreifenbasis (beispielsweise im außereuropäischen Ausland) missbräuchlich verwendet wurden", betonte der Verband.

Karsten Nohl von Security Research Labs betonte im Gespräch mit Golem.de, dass der Forscher Thomas Roth die Sicherheitslücke entdeckt habe. Der Angriff könne, so Nohl, nur dann über das Internet erfolgen, wenn Public-IPs für solche Terminals vergeben werden, was praktisch nicht passiert. Nohl: "Wenn es aber gelingt, über das Internet irgendeinen Computer in dem Netzwerk zu hacken, dann können natürlich auch alle Kassenterminals gekapert werden."

Security Research Labs: Ein Patch hilft nicht

Auch bei lokalen Angriffen sei das Ziel, eine Malware auf dem Terminal laufen zu lassen. "Die serielle Schnittstelle und die JTAG-Schnittstelle des Applikationsprozessors prädestinieren sich für lokale Angriffe. Vor allem die JTAG-Schnittstelle, weil es hier keinen Softwarepatch geben kann, der die Lücke schließt. Der Prozessor bietet keine Möglichkeit, die Schnittstelle abzuschalten. Man operiert mit JTAG unterhalb der Software, darum kann sich die Software davor nicht schützen", sagte Nohl. Selbst wenn 300.000 Geräte einen Patch hätten, könne die Lücke nicht geschlossen werden. "Per Softwareupdate ist nur ein Angriff aus irgendeinem Keller im Ausland abzuwehren, bei dem tausende Terminals auf einmal gehackt werden."

Lokale Angriffe seien auch durch ein Ablenkungsmanöver möglich, wenn der Kartenleser beispielsweise im Café auf den Tisch gestellt wird. "Ab da kann er dann alles abgreifen", erklärte Nohl.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Frank1965 23. Jul 2012

In der aktuellen c't ist ja auch ein Artikel zu dem Thema drin. Das kann man auch...

Endwickler 13. Jul 2012

Also da bekommt man gebrauchte PC's aber billiger. :-)

Local_Horst 13. Jul 2012

Da bräuchte man gar nicht auf der Platine rum braten. Mit efuses wäre es kein Problem...

Ampel 13. Jul 2012

Detaillierte Beweise ,Log dateien ( ausdrucke) und ein Testaufbau vor dem Richter der...

Ampel 13. Jul 2012

Leider ist es das problem schlechthin !. Die Datenübertragungen werden heutzutage gro...



Aktuell auf der Startseite von Golem.de
Wemax Go Pro
Mini-Projektor für Reisen strahlt 120-Zoll-Bild an die Wand

Der Wemax Go Pro setzt auf Lasertechnik von Xiaomi. Der Beamer ist klein und kompakt, soll aber ein großes Bild an die Wand strahlen können.

Wemax Go Pro: Mini-Projektor für Reisen strahlt 120-Zoll-Bild an die Wand
Artikel
  1. Snapdragon 8cx Gen 3: Geleaktes Qualcomm-SoC erreicht das Niveau von AMD und Intel
    Snapdragon 8cx Gen 3
    Geleaktes Qualcomm-SoC erreicht das Niveau von AMD und Intel

    In Geekbench wurde der Qualcomm Snapdragon 8cx Gen 3 gesichtet. Er kann sich mit Intel- und AMD-CPUs messen, mit Apples M1 aber wohl nicht.

  2. Air4: Renault 4 als Flugauto neu interpretiert
    Air4
    Renault 4 als Flugauto neu interpretiert

    Der Air4 ist Renaults Idee, wie ein fliegender Renault 4 aussehen könnte. Mit der Drohne wird das 60jährige Jubiläum des Kultautos gefeiert.

  3. MS Satoshi: Die abstruse Geschichte des Bitcoin-Kreuzfahrtschiffs
    MS Satoshi
    Die abstruse Geschichte des Bitcoin-Kreuzfahrtschiffs

    Kryptogeld-Enthusiasten kauften ein Kreuzfahrtschiff und wollten es zum schwimmenden Freiheitsparadies machen. Allerdings scheiterten sie an jeder einzelnen Stelle.
    Von Elke Wittich

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Black Friday Wochenende • LG UltraGear 34GP950G-B 999€ • SanDisk Ultra 3D 500 GB M.2 44€ • Boxsets (u. a. Game of Thrones Blu-ray 79,97€) • Samsung Galaxy S21 128GB 777€ • Premium-Laptops (u. a. Lenovo Ideapad 5 Pro 16" 829€) • MS Surface Pro7+ 888€ • Astro Gaming Headsets [Werbung]
    •  /