Обнаружив внезапное исчезновение той или иной суммы на банковской карте или получив SMS о том, что где-нибудь в Зимбабве только что с нее было снято несколько сотен долларов, вернуть деньги очень сложно. Попробуй, докажи, что это не ты сам их снял и пытаешься облапошить честных банкиров, ведь с точки зрения банка именно ваша карта была вставлена в банкомат и введен ваш пин-код.

Как устроен скиммер?

Фальшивая клавиатура и картоприемник. Фото: Тинькофф Журнал

Скиммер - это устройство-считыватель для банковских карт, состоящий из магнитной головки, управляющей электроники и модуля флеш-памяти. Первые скиммеры появились в 2002 году в Великобритании и выглядели как накладки на картоприемную щель банкомата, приклеиваемые на двухсторонний скотч.

Получалось, что карта, вставляемая в щель, сначала считывалась головкой скиммера, а потом уже головкой банкомата, и дамп данных с магнитной полосы оказывался в руках злоумышленников. Записав этот дамп на «болванку» пластиковой карты (на жаргоне она называется «белым пластиком»), они получали дубликат карты холдера (холдером на жаргоне кардеров именутся жертва - владелец карты).

Итак, карта есть. Но чтобы ей воспользоваться, нужен еще пин-код от нее. Простым перебором его не получить: после трех попыток неправильного ввода карта будет «проглочена» банкоматом и заблокируется, а с трех раз угадать код из 10 тысяч вариантов намного сложнее, чем выиграть в лотерею. Поэтому пин-код считывается прямо в процессе ввода холдером. Для этого может использоваться накладная клавиатура, устанавливаемая поверх обычной, либо, что гораздо чаще, просто видеокамера.

Первые камеры тоже маскировались под накладку и приклеивались прямо на банкомат, сейчас же чаще всего вешают камеру чуть поодаль в помещении рядом - или скрытно, или же, наоборот, явно и на самом видном месте: все думают, что это камера видеонаблюдения.

Порой используют и настоящие камеры наблюдения: известны случаи, когда охранники торговых комплексов и бизнес-центров были «в доле» и направляли камеры так, чтобы в их поле зрения попадали и клавиатуры банкоматов, а затем в конце дня «сливали» записи кому следует. Понять, от какой карты какой пин-код, очень легко, сопоставив время считывания дампа и время ввода на видео.

Имея дубликат карты и пин-код, можно смело идти к любому банкомату и снимать деньги. Сам преступник при этом, естественно, «не палится», выбирая банкоматы в безлюдных местах, используя маски или вовсе подсылая вместо себя бомжа или доверчивого школьника.

Банки защищаются как могут

Скиммеры поначалу были в диковинку и пользователи особенно не интересовались, куда вставляют карту: банкомат же, я тут всегда деньги снимаю! Маскировали устройства очень топорно, поэтому банки начали выпускать инструкции - мол, осмотрите банкомат внимательно, нет ли ничего подозрительного. Подергайте за все, за что можно подергать, поищите глазки камер, поковыряйте клавиши и т.п.

Именно в таком виде эти советы последние десять лет гуляют по интернету, превратившись в эдакое развлекательное чтиво, потому что пользы от них немного, и так топорно, как раньше, никто уже не действует.

Первый этап обороны - это антискиммеры: накладки, установленные на щель самим банком. Их задача - не дать закрепить еще что-либо поверх: любые дополнительные накладки уже настолько удлинят щель, что картоприемный механизм не сможет «засосать» кредитку внутрь.

Антискимминговая накладка на картоприемник. Фото: Тинькофф Журнал

Сам механизм дополнительно может быть оснащен так называемым «вибромодулем»: при захвате карты он несколько раз дергает карту туда-сюда, и скиммер, если он установлен, считывает дамп некорректно. Вокруг клавиатур устанавливают козырьки, затрудняющие видеосъемку ввода пин-кодов.

Второй этап обороны - это отказ от использования магнитных полос: современные карты все чаще оснащаются чипами, которые на ходу уже не считаешь. Магнитная полоса на них все равно остается, но при этом при наличии чипа на настоящей карте клон по полосе в большинстве банкоматов авторизован не будет: на полосе, помимо прочего, содержится запись о разрешенных способах аутентификации, причем отдельно - для международных операций.

То есть, карта как бы говорит банкомату: «Я чиповая; если ты умеешь считывать чипы - считывай чип, иначе не можешь - дверь никому не открывай».

Магнитная полоса есть у всех карт, но именно наличие чипа добавляет безопасности.

Мошенники обходят защиту

Впрочем, обойти защиту можно. Например, скиммер можно встроить не только в банкомат, но и в магнитный замок на входе в отделение банка, который закрывает дверь в ночное время. Для справки: эти замки открываются любой магнитной картой, а не только вашей банковской, так что пользуйтесь для этого, например, дисконтной картой супермаркета. Да и для банкоматов скиммеры стали такими компактными, что легко устанавливаются внутрь самого антискиммера.

Кроме того, появились так называемые шиммеры - устройства толщиной с пленку, которые считывают и чиповые карты. Шиммер хитро запихивается в банкомат так, что оказывается «прокладкой» между чипом карты и контактами в картоприемнике.

Помните, были такие адаптеры для двух сим-карт? Принцип тот же, толщина шиммера составляет несколько микрометров и он может оставаться незамеченным долгое время.

Клон чиповой карты сделать сложнее, чем магнитной (поскольку здесь происходит двухсторонний обмен информацией, чип «отвечает» на авторизационные запросы генерацией ключей по определенному алгоритму шифрования), но на точках с оффлайн-авторизацией этим клоном можно будет расплатиться.

Также считать и карту, и пин-код от нее очень удобно, скажем, в небольшом кафе или маленьком магазинчике: вряд ли вы будете подробно изучать, не «модернизирован» ли платежный терминал (если он вообще настоящий - «Ой, карта не прошла!»).

Более того, есть сверхвысокотехнологичный способ, при котором два злоумышленника работают в паре. Один работает официантом и уносит карту от посетителя и в этот момент звонит сообщнику, который уже наготове и, например, пытается купить по карте кольцо с бриллиантами или айфон - любой ликвидный товар. Но у второго карта не простая, а замаскированный эмулятор, подключенный с помощью мобильного интернета по VPN-каналу к терминалу у официанта.

Во время загрузки произошла ошибка.

Магазинный вор установил считыватель карт за 3 секунды

Запрос пин-кода из магазина транслируется онлайн в ресторан, посетителю приносят терминал - мол, введите код - и все, операция одобрена, причем на чеке, естественно, ничего не печатается.

И, наконец, высший пилотаж - это поддельные банкоматы, устанавливаемые средь бела дня в местах скопления туристов. Ведь чем наглее способ кражи, тем меньше к нему подозрений!

Как не стать жертвой и сберечь свои деньги

1. Лучший способ обезопасить себя - это не «светить» картой в банкоматах. Карты сегодня принимают чуть ли не в киосках с шаурмой, так что по возможности расплачивайтесь безналичным способом. А если карта еще и бесконтактная (Paypass, Paywave), надежнее использовать этот способ.
2. Особенное внимание - банкоматам за границей! Здесь лучше снять деньги в отделении банка или, например, в зоне прилета аэропорта - то есть, там, куда злоумышленнику трудно пробраться незамеченным.
3. У чиповой карты пин-код можно многократно менять прямо в банкомате: не пренебрегайте этой возможностью. Если у вас карта не чиповая, то исправьте это недоразумение, сейчас не 1996 год.
4. В интернет-банке установите минимально возможные лимиты на снятие наличных по своим картам и подключите SMS-уведомления об операциях. Так вы успеете оперативно обнаружить кражу и заблокировать карту, а преступники не успеют снять большую сумму. Когда деньги понадобятся вам - установите нужный лимит и потом снова верните минимальный.
5. В любом случае обращайтесь в банк и пишите заявление. В общении с сотрудниками вверните словосочетание «liability shift». Смысл в том, что по правилам международных платежных систем если чиповая карта (с EMV-авторизацией) была использована для снятия средств в банкомате без EMV-авторизации (то есть, по магнитной полосе), то при оспаривании такой операции убытки понесет банк, в банкомате которого были сняты деньги по клону вашей карты, а вам их оперативно вернут. Правда, liability shift не признается США, поэтому угадайте, в какой стране кардеры чаще всего снимают деньги?

Ребята, мы вкладываем душу в сайт. Cпасибо за то,
что открываете эту красоту. Спасибо за вдохновение и мурашки.
Присоединяйтесь к нам в Facebook и ВКонтакте

Снятие денег в банкомате и безналичная оплата покупок уже давно стали для нас обычным делом. И этим активно пользуются мошенники.

сайт рассказывает о самых распространенных манипуляциях с банкоматами, с помощью которых злоумышленники могут украсть ваши деньги, и о том, как с этим бороться.

Чтобы украсть деньги с вашей карты, мошенникам нужно скопировать две вещи: информацию с магнитной полосы карты и ПИН-код. Для кражи данных карты (скимминга) используются три основных типа устройств.

• Скиммеры - устройства, считывающие информацию с магнитной ленты. Как правило, они крепятся поверх слота для карт. После того как клиент банка вставляет карту в банкомат, ее данные записываются с помощью скиммера на электронное устройство.

• Накладки на клавиатуру. Как и скрытые камеры, накладки используются для того, чтобы записать ПИН-код: поддельная клавиатура «запоминает» его, после чего злоумышленники снимают ее и расшифровывают полученную информацию.

Неподготовленному человеку распознать скиммеры довольно сложно , так как они не отличаются от оригинальных деталей банкомата ни по форме, ни по цвету и материалу. Но есть признаки, которые могут указывать на наличие считывающих устройств:

• Сколы, трещины, царапины и другие механические повреждения на частях банкомата.

• Любые посторонние детали на банкомате.

• Несовпадение формы, материала, цвета, контуров деталей банкомата.

• Наличие выступов на слоте для карт, неровный слот.

Осмотр каждого банкомата, где вы собираетесь снять деньги, - дело трудоемкое. Однако это не значит, что защитить данные вашей карты от мошенников невозможно. Чтобы свести риск к минимуму, соблюдайте несколько простых правил:

• Используйте карту с чипом. Скимминговые устройства копируют данные с магнитной ленты. Скопировать чип просто так нельзя из-за более высокого уровня защиты.

• Закрывайте клавиатуру рукой, когда вводите ПИН-код. Это поможет защититься от скрытых камер, которые могут записать ваши данные.
• Используйте знакомые банкоматы и банкоматы, расположенные в хорошо защищенных местах, например, в отделениях банков, до которых сложнее добраться мошенникам. По возможности избегайте уличных банкоматов, банкоматов в плохо освещенных местах, маленьких магазинах и укромных уголках в торговых центрах.
• Ограничьте географию использования карты , а для путешествий заведите отдельную карту. Кроме того, вы также можете установить лимит на снятие наличных в банкомате и лимит на совершение онлайн-операций по карте.

Перед тем как воспользоваться банкоматом, присмотритесь к нему повнимательнее. Нет ли на панели с клавиатурой или рядом с экраном дополнительных устройств, к примеру лишних осветительных приборов? Нет ли поблизости зеркал или держателя для рекламных брошюр? Все эти мелочи могут свидетельствовать о наличии скиммера - считывающего устройства, прикрепленного к банкомату. Такие устройства помогают мошенникам в краже данных с кредитных карт. О том, как скиммеры выглядят и как они работают, рассказывает корреспондент американского портала MarketWatch.com Дженнифер Уотерс.

Если что-либо во внешнем виде банкомата показалось вам подозрительным, не пользуйтесь им. Таким образом вы, возможно, убережете себя от скимминга - кражи данных о пластике при помощи специального считывающего устройства. Злоумышленники могут похитить не только номер карты, но и другие данные.

Тем не менее, по словам аналитика исследовательской компании Javelin Strategy & Research Роберта Вамози, «многие держатели карт попадаются в эту ловушку из-за своей недостаточной информированности».

Итак, как же выглядят и работают скиммеры? У злоумышленников есть несколько способов установки шпионского оборудования на банкомат. Это может быть пластиковая накладка, прикрепляемая к кардридеру, либо миниатюрная видеокамера в держателе для брошюр рядом с банкоматом. Камера записывает, какие кнопки вы нажимаете, когда набираете ПИН-код. Бывают и специальные накладки на клавиатуру, считывающие порядок набора цифр.

При помощи этих устройств преступники выуживают всю информацию о вашей карте буквально в течение нескольких секунд.

«Мошенники получают не только номер и дату срока годности вашей карты, но и всю информацию, записанную на магнитной полосе, - поясняет Брайан Кребс, автор собственного блога KrebsOnSecurity.com, посвященного защитным информационным технологиям. - В итоге в руках у них оказывается точная копия вашей карты, полностью пригодная для совершения покупок».

Этот бизнес процветает. Так, по данным портала Bankrate.com, при помощи скимминга злоумышленники ежегодно крадут с карточных счетов около 1 млрд долларов, а в исследовании Javelin Strategy & Research говорится о том, что каждый пятый американец пострадал из-за подобного мошенничества.

Обычное банковское ограбление приносит преступникам в среднем около 5 тыс. долларов прибыли, в то время как взломанный банкомат - 50 тыс. долларов, говорит Дуг Джонсон, вице-президент департамента рисковой политики Американской банковской ассоциации. «Но скимминговые технологии становятся все более изощренными, и из-за этого в ближайшем будущем убытки простых держателей карт могут сильно возрасти», - прогнозирует эксперт.

Больше всего мошенники любят общественные места и крупные торговые точки. Впрочем, и любой отдельно стоящий банкомат может привлечь их внимание.

Будьте избирательны: не пользуйтесь банкоматами, расположенными в подозрительных и плохо освещенных помещениях. Отдавайте предпочтение хорошо освещенным устройствам в людных местах;

Доверяйте своей интуиции: если что-то с устройством не так, не пользуйтесь им. Эксперты утверждают, что у большинства жертв подобных мошенничеств было нехорошее предчувствие при взгляде на банкомат;

Вводя ПИН-код, прикрывайте клавиатуру рукой, чтобы скрыть набираемые цифры от видеокамер и злоумышленников;

Не доверяйте банкоматам, имеющим непривычные опознавательные знаки или настораживающие пункты в инструкции, к примеру если машина требует ввести ПИН дважды для подтверждения трансакции.

Пользуйтесь знакомыми вам устройствами в отделениях банков. «Иметь дело с банкоматом вне банковского офиса, особенно в крупных городах, - все равно что играть в русскую рулетку», - говорит Роберт Сицилиано, консультант компании по разработке антивирусного программного обеспечения McAfee.

Как же выглядят банкоматы, на которые установлено опасное оборудование?

По словам Сицилиано, многие скимминговые приспособления прикрепляются к банкоматам с помощью обычного двустороннего скотча или застежки-«липучки». Что касается клавиатуры, то если она была, скажем, вогнутой, специальная накладка сделает панель более плоской. Также скимминговое устройство может изменить сами клавиши: они будут либо утоплены в панель клавиатуры, либо, наоборот, слишком сильно выпирать.

Скиммеры, установленные на кардридер, могут в точности повторять цвет и дизайн банкомата. Единственный их отличительный признак - они слегка выдаются над основной поверхностью корпуса.

«От банкоматов, явно претерпевших внешние изменения, надо держаться подальше, - подчеркивает Малкольм Уайли, представитель Секретной службы США. - Если вы заметили, что устройство повреждено или что некоторые его детали некрепко держатся, то это, скорее всего, означает, что к нему подсоединили скимминговое оборудование».

Еще одно место, где промышляют мошенники, - автозаправочные станции. Скиммеры могут быть присоединены к кардридерам на бензоколонках. Так, в прошлом году полиция арестовала нескольких преступников в Денвере, Лос-Анджелесе, Далласе и в штате Флорида. Они подсоединяли скиммеры, управляемые через Bluetooth, к считывающим устройствам для самостоятельной оплаты топлива.

Мошенникам даже не требовалось появляться на месте преступления: вся информация поступала на их компьютеры по каналам удаленной связи или в виде текстовых сообщений на сотовые телефоны. Продолжалось это до тех пор, пока не садились батарейки в скимминговых устройствах.

«Скиммеры становятся все совершеннее с технологической точки зрения, и, чем они совершеннее, тем труднее их обнаружить», - подытоживает Сицилиано.

На фото: так выглядит скиммер, прикрепляемый к считывающему устройству банкомата. Иллюстрация: MarketWatch

В сентябре в Москве произошла нашумевшая история с банкоматом ВТБ24. Больше половины сотрудников одной из компаний воспользовались им по привычке рядом с работой, а затем увидели, что на картах не осталось ни копейки. После выяснения всех обстоятельств в банкомате обнаружили скиммер. Такие приспособления сейчас встречаются все чаще и чаще, и особенно в крупных городах. О том, как организовано такое мошенничество и как выглядят скиммеры, «УНП» рассказал Сергей Никитин, ведущий специалист по компьютерной криминалистике Group-IB, компании, занимающейся расследованием компьютерных преступлений.

1. Вокруг банкомата создан нехарактерный антураж

Как правило, вокруг щели для приема карточки у нормальных банкоматов не бывает лишних предметов и прочих отвлекающих внимание вещей. «Если вы видите что-то странное – рекламные наклейки, выступающие части рядом с щелью для карты – не пользуйтесь этим банкоматом, – рекомендует Сергей Никитин. – Возможно, здесь скиммер».

Рис. 1. Безопасный банкомат

2. На отверстии для приема карты объемная конструкция

Скиммер устанавливают на приемник для пластиковых карт. На рисунке 1 показано, как выглядит обычный банкомат, на рисунке 2 – банкомат со скиммером – на щель для карты у него установлена внешняя объемная панель.

Но не все скиммеры одинаковы. Они могут выглядеть по-разному, так как их изготавливают под конкретные типы банкоматов, и выглядят они органично. По словам Сергея Никитина, почти все банкоматы имеют антивандальное исполнение, поэтому можно смело исследовать подозрительные конструкции, чужеродные накладки будут заметны. Но, конечно, не надо слишком усердствовать, бессмысленно пытаться разобрать банкомат.

Скиммер может быть закреплен не только поверх приемника карт, но и внутри приемника. В этом случае, если приглядеться, в щели для карты можно увидеть какие-либо лишние детали, но вообще такой скиммер заметить трудно. Чтобы помешать мошенникам установить скиммер, сейчас на банкоматы ставят так называемые антискиммеры, которые тоже представляют собой специальные накладки на приемнике для карты (см. рис. 3).

Но скиммер не считывает пин-код, и чтобы его узнать, мошенники устанавливают либо камеру, либо накладную клавиатуру, либо весь комплект.

КСТАТИ. Иногда мошенники уводят деньги с карты и без скиммеров. Чтобы считать информацию с карточки, достаточно бывает просто сфотографировать ее с двух сторон. Это может сделать, к примеру, недобросовестный официант в кафе мобильным телефоном. На основе данных, напечатанных на поверхности карты, обычно можно сгенерировать содержимое ее магнитной полосы. Поэтому безопаснее не передавать карту в руки незнакомым людям и не выпускать ее из поля зрения.

Рис. 2. Скиммер

Рис. 3. Антискиммер

3. Кроме скиммера в банкомате или рядом есть «глаз»

Почти у каждого банкомата есть видеокамера. Она нужна банку для контроля. Но родная камера установлена так, что снимает либо лицо клиента, либо выдачу купюр. На клавиатуру она никогда не направлена.

А вот мошеннические камеры всегда установлены так, чтобы видеть, как клиент вводит пин-код. Используемые для таких целей камеры снаружи выглядят как маленькое отверстие в не предназначенном для этого месте. Их могут устанавливать как на самом банкомате, например сверху над клавиатурой, так и рядом с аппаратом. Например, на рисунке 4 показано, как маскируют камеру под ящик с рекламными буклетами или какую-либо полочку. На всякий случай, вводя пин-код, можно прикрыть клавиатуру рукой, тогда камера злоумышленникам вряд ли поможет.

Рис. 4. Скрытая камера

4. На клавиатуре стоит незаметная на первый взгляд накладка

Еще один способ считать пин-код – накладная клавиатура. Она обычно крепится надежно, и самостоятельно проверить, снимается ли клавиатура, вряд ли удастся. Однако накладку можно заметить. Так, она может выступать над поверхностью (см. рис. 5). Либо отходить от краев панели (см. рис. 6).

Рис. 5. Накладная панель

Рис. 6. Накладная панель

Скиммеров много в людных местах

Скиммеры чаще всего находят в банкоматах, установленных на вокзалах, в аэропортах, торговых центрах. «При каждой инкассации производится проверка банкоматов на наличие скиммеров, поэтому их обычно ставят на банкоматы, расположенные в людных местах, чтобы успеть за короткое время скопировать как можно больше карт», – говорит Сергей Никитин. Такими банкоматами лучше не пользоваться, желательно снимать деньги в банкоматах в отделениях банков.

Егор Хан, корреспондент «УНП»

Банкоматы и скимминг!

Один из видов мошенничества с пластиковыми картами является скимминг , при котором используется скиммер - инструмент злоумышленника для считывания, например, магнитной дорожки кредитной карты. Скиммер представляет из себя устройство со считывающей магнитной головкой, усилителем-преобразователем, памятью и переходником для подключения к компьютеру. Скиммеры могут быть портативными, миниатюрными. При помощи электронного устройства (скиммера), устанавливаемого на банкоматы для считывания информации с кредитных карт, проходящих через эти банкоматы, а также накладной клавиатуры или мини-камеры мошенник получает доступ к карточному счету жертвы и может снимать с него любые суммы.
Современные скиммеры очень малы. Например, скиммеры, которые используются в ресторанах (и не только), раза в два меньше небольшого сотового телефона, могут одновременно хранить данные сотен магнитных полос.

Когда официант берет карту и уносит ее, чтобы сделать платеж, он может незаметно провести ею по скиммеру, спрятанному в руке. Бывают плоские скиммеры, которые вообще незаметны и просто кладутся в папку со счетом. Наиболее часто скимминг используется мошенниками при снятии клиентом денег через банкомат.

Немного теории: как устроена кредитка.

Кредитная карточка - это пластиковый прямоугольник с нанесенными на нем:

Изображением

Голограммой

• Полосой с подписью

  Иногда - фотографией владельца

  Магнитной полосой (и чипом, что не столь принципиально)

Изображение, голограмма, подпись, фотография - служат для определения идентификации карты в магазинах, банках, или пунктах обслуживания. Нас же интересует система банкоматов или интернет-торговли, где эти данные не учитываются.

На магнитной ленте (или чипе) записаны два набора цифр. Первый - копия того, что указано на карте (фамилия, номер, срок действия (expiriency date). Второй - некий шифр, образованный по некоему алгоритму из этих данных. (CVV - card verification value или CVC - card verification code). Этот цифровой код называется CVV1/CVC1.

В онлайн-торговле вообще принимается во внимание только номер и код. Это три цифры, которые нанесены на обратной стороне карты, и называются они CVV2/CVC2.

Банкомат при считывании карты принимает во внимание только вторую дорожку. По ней он и идентифицирует владельца карты (точнее, банкомат передает этот код и получает данные от сервера банка) и принимает решение о выдаче денег или приеме оплаты.

Суть скимминга в том, что преступник "модернизирует" банкомат электронным устройством, которое считывает информацию с карточки потенциальной жертвы (оно называется скиммер). Вы можете не заметить этого, спокойно воспользовавшись услугами банкомата. А через некоторое время ваша банковская карта будет взломана и лишена всех денег, которые на ней хранились.

Как происходит кража информации с банковской карточки?

Скиммер копирует информацию, которая содержится на магнитной полосе пластиковой карты, и дает возможность мошенникам изготовить дубликат вашей карты. Помимо скиммера на банкомат устанавливается фальшивая клавиатура и/или скрытая камера для определения пин-кода.

Что такое скимминг-клавиатура и как ее опознать?

Во-первых, она может при тактильном контакте незначительно сдвигаться, во-вторых, возвышаться над поверхностью банкомата, в третьих, на панели банкомата могут остаться следы клея. С помощью такой клавиатуры копируется ПИН-код, который вы вводите для начала операций с картой.

Помимо ложной клавиатуры существуют еще как минимум два способа узнать ваш ПИН-код: подглядеть его, стоя у вас за спиной, или установить на банкомат небольшую видеокамеру, направленную на область клавиатуры.

Скимминг - накладки на гнезда банкоматов, которые считывают информацию с магнитной полосы карточки. Причем теперь их уже оборудуют сим-картами, с помощью которых они отправляют данные прямо на мобильный телефон мошенника. Иногда доходит даже до того, что преступники устанавливают на улицах целые фальшивые банкоматы, запрограммированные на снятие информации с карточек.

Как обезопасить себя от мошенничества - скимминга?