Мошеннические операции по поддельным микропроцессорным картам проводятся по магнитной полосе или с использованием ее реквизитов (МО/ТО, Интернет). В связи с тем, что мошеннические операции производятся по магнитной полосе, то метод верификации держателя карты, определенный эмитентом в Cardholder verification method Type не имеет значения. Верификация держателя происходит согласно service code — 201 (МПК, нормальная авторизация, нормальная верификация). Получается, что сокращение мошенничества по поддельным картам с МПК происходит не за счет введения в торгово-сервисных предприятиях (далее — ТСП) ПИНа, а за счет применения ЧИПа. Если при обслуживании МПК по ЧИПу верификацию держателя производить по подписи, то мошенничество по поддельным картам не увеличится относительно верификации по ПИН-коду. Для обеспечения влияния ПИН-код на сокращение мошенничества по поддельным картам необходимо требование ввода ПИН-кода в ТСП при операциях и с магнитной полосой, чего в настоящий момент нет (кроме карт Maestro). При попытке расплатиться в ТСП украденной или утерянной картой с микропроцессором по технологии «ЧИП и ПИН», если терминал поддерживает ЧИП, необходимо ввести ПИН. Поскольку мошенник его не знает, то проведение операции невозможно (если не вывести из рабочего состояния микропроцессор и потом провести операцию fallback[207]). Следовательно, сокращение мошенничества по утраченным картам с МПК происходит за счет ПИНа, но до момента уведомления держателем эмитента об утрате ответственность по таким операциям (согласно договорам обслуживания карт) лежит на клиенте. Возможные потери эмитента — только оффлайновые операции, совершенные после уведомления клиентом об утрате карты. Таким образом, если отказаться от технологии «ЧИП и ПИН» потери банков по поддельным и утраченным картам не увеличатся, а банкоматное мошенничество сократится.
Представляется, что программа «ЧИП и ПИН» на переходный период для комбинированных карт является стратегической ошибкой. Необходимо при обслуживании комбинированных карт в предприятиях торговли оставить, использовавшийся ранее на картах с магнитной полосой, способ верификации держателя по подписи. Для банков-эмитентов это не приведет к увеличению потерь, так как при проведении мошеннической операции по магнитной полосе МПК, абсолютно не важно, как была запрограммирована верификация держателя на микропроцессоре, в результате же использования мошенниками утраченных карт, потери эмитентов будут невелики, так как ответственность по таким операциях до момента уведомления лежит на клиенте. Потери по оффлайновым операциям можно снизить за счет настроек параметров безопасности микропроцессора.
При совершении операций по МПК в ТСП вводится ПИН-код. Это влечет:
• увеличение точек ввода ПИН-кода (количество POS-терминалов во много раз превышает АТМ);
• места установки POS-терминалов отличаются от мест установки АТМ (при вводе ПИН-кода рядом с держателем находится кассир и другие клиенты — нет зоны безопасности);
• POS-терминал является менее защищенным устройством по сравнению с АТМ;
• POS терминал менее контролируем со стороны эквайрера чем АТМ (отключение от процессинга, модернизация, подмена и др.).
Негативные последствия программы «ЧИП и ПИН»:
• увеличение количества компрометаций ПИН-кодов за счет появления новых потенциальных точек (ТСП);
• увеличение потерь по банкоматному мошенничеству. Потери по скомпрометированной карте в АТМ больше чем в ТСП;
• неготовность банков к противодействию мошенническим операциям в АТМ. Если с мошенничеством в предприятиях торговли банки уже научились бороться (вплоть до разрыва договорных отношений и заявления в правоохранительные органы о возбуждении уголовного дела), то в случае если у банка-эквайера в его банкоматах идут операции по поддельным картам, не совсем ясно, что же делать (отключать банкомат не будет никто);
• компрометация ПИН-код как аналога собственноручной подписи, как следствие — мошенничество со стороны легитимных держателей. Данный вид мошенничества ставит под сомнение собственно ПИН-код как аналог собственноручной подписи держателя, а следовательно, и легитимность операций, в том числе и законных держателей, подтвержденных ПИН-кодом. Негативные последствия данной дискредитации ПИН-кода для банков-эмитентов будут очень болезненны;
• появляются новые атаки на уровне терминала (мошеннический ПИН-ПАД).
Все вышеизложенное находит свое практическое подтверждение.
Май 2006 г. компания SHELL в Великобритании прекратила использовать на безозаправочных терминалах приема платежных карт технологию «чип и пин» после того как мошенники украли более 1 млн ф. ст. Шестьсот терминалов были модифицированы мошенниками в целях несанкционированного копирования 2 трека магнитной полосы и ПИН-кода и поддельные карты использовались в не чиповых банкоматах.
Июль 2006 г. Банк Lloyds-TSB заявил о возросшем уровне мошенничества по МПК из банкоматов в других странах.
Август 2006 г. Монреаль. Модернизация торговых терминалов с целью копирования магнитной полосы и ПИН (18 тыс. карт).
Август 2006 г. Копенгаген. В книжном магазине у держателей копировалась магнитная полоса и ПИН-код (509 карт за 3 дня). Далее снимались денежные средства в банкоматах.
2007 г. Уведомление от MasterCard (Ref Number: 200702_001) об атаках в Австрии, Германии, Швейцарии, Швеции, выразившихся в замене подлинных терминалов ложными с функцией перехвата ПИН-кодов.
Рассмотрим подробнее угрозы, которые появляются с использованием технологии «ЧИП и ПИН».
• «Подглядывание из-за плеча». Мошенник может узнать персональный код держателя банковской карты, подглядывая из-за его плеча, пока тот вводит свой код, выполняя операции в ТСП. При этом магнитная полоса может негласно копироваться либо позднее карта похищается. В банкоматах данная угроза также существует, но уровень ее существенно ниже. При грамотной установке банкоматов они имеют так называемую зону безопасности, пространство, которое отделяет держателя карты, пользующегося банкоматом, от остальных людей в очереди. В торговом предприятии такую зону создать невозможно, дополнительно рядом с держателем присутствует кассир, который также может видеть вводимый ПИН-код.
• Подмена криптографического ключа. В торговый терминал (пин-пад) загружается известный злоумышленнику криптографический ключ ТМК (терминальный мастер ключ). После осуществляется перехват вторых дорожек и ПИН-блоков (транзакции с он-лайн проверкой ПИН-кода проходить не будут (не верный ПИН-код), но мошенник перехватывает нужную ему информацию). В результате мошенник получает вторые дорожки карт и зашифрованные известным ему криптографическим ключом ПИН-блоки. Далее изготавливается «белый пластик» и деньги снимаются в настоящем банкомате. Если в торговом терминале реализована оффлайновая проверка чистого ПИН-кода, и терминал с пин-падом являются различными физическими устройствами (подключены соединительным проводом), то возможна замена криптографического ключа, на котором зашифровывается пин-блок при передаче от пин-пада к терминалу. Если этот пин-блок перехватить, то очень легко можно получить значение ПИН-кода. При этом торговый терминал будет нормально работать, а эквайрер не будет знать о подмене ключа. Проверка зашифрованного ПИН не решит проблему. Так как ключ шифрования ПИН-блока известен (открытый ключ карты) и возможна атака полным перебором (10 000 вариантов).
• Мошенничество со стороны персонала ТСП.
До технологии «ЧИП и ПИН» недобросовестный сотрудник торгового предприятия мог только скопировать магнитную полосу карты (скимминг). Теперь же он получает возможность дополнительно узнать и ПИН-код как обычным подглядыванием за его вводом, так и с использованием технических средств (например видеокамер). В результате эффективность деятельности мошенников увеличивается и растут потери банков. Поскольку, похитив только информацию с магнитной полосы карты, необходимо изготовить поддельную карту, что требует определенных затрат. Далее с такой картой нужно прийти в магазин и осуществить покупку. Мошенник не знает доступный на карте баланс, всегда есть риск, что персонал торговой точки определит поддельность карты и злоумышленника задержат правоохранительные органы. В случае же копирования второго трека полосы карты и получения ПИН-кода, затраты на изготовление «белого пластика» минимальны. Использование такой карты в банкомате влечет значительно меньший риск быть задержанным по сравнению с предприятием торговли и есть возможность снять все денежные средства, доступные на карточном счете.
К уязвимостям стандарта EMV следует отнести, во-первых, легкую доступность ПИН-кода (учитывая, что магнитная полоса остается на смарткартах, по ним возможно проведение не чиповых операций, что увеличивает риск компрометации карт). Во-вторых, EMV предполагает аутентификацию карты и эмитента, но не предусматривает аутентификацию подлинности терминала, в связи с чем усилятся атаки на сам терминал — от простой подмены, до модернизации. Что уже сейчас подтверждается данными. Так, исследователи Кембриджского университета 5 января 2007 г. перепрограммировали «ЧИП и ПИН»-терминал, превратив его в игровую приставку для игры в «тетрис».
