Skip to content

Kaasupumpun kuoriimet, ATM EMV Shimmerit ja Cloned Card Triage

Hätänumerot vaihtelevat maittain. Tämä sivu käyttää numeroa 911, joka on Yhdysvaltojen ja Kanadan numero. Monet muut maat käyttävät numeroa 112, 999 tai jotain muuta numeroa. Etsi maasi numero.

Tartuitpa vain huoltoasemapumpun tai pankkiautomaatin muovikortinlukijaan ja tunsitpa irrallisen väärennetyn kehyksen ponnahtavan kädessäsi, huomasitpa, että sirukortin asettaminen tuntui epätavallisen kireältä paperin ohuen sisäisen EMV-kiiltävän takia, tai sait vain mobiilipankkivaroituksen, että joku vetäytyy. $800 käteisellä kolmen kaupungin päässä olevasta pankkiautomaatista, kun fyysinen pankkikorttisi on turvallisesti omassa lompakossasi, olet tekemisissä fyysisen maksupäätteen vaarantumisen kanssa (card skimming tai shimming). Nykyaikaiset organisoidut kuorintaryhmät eivät enää luota pelkästään pumpun ulkopuolelle liimattuihin suuriin muovipintoihin: he käyttävät yleisiä polttoaineen jakeluavaimia näkymättömien sisäisten nauhakaapeleiden asentamiseen. HC-05 / HC-06 Bluetooth-radiot pumppukaapin sisällä, liuku 0.15 millimeter (0.006 inch) joustavat piirilevyt (EMV-hohtelee) suoraan sirupaikkaan piilotettujen neulanreikäisten kamerapalkkien tai erittäin ohuiden näppäimistön peittojen rinnalle varastaaksesi 4-numeroisen PIN-koodisi, ja kirjoita varastetut Track 2 -tiedot tyhjille magneettijuovallisille "valkoisille korteille", joiden avulla voit tyhjentää tilit vanhoissa pankkiautomaateissa ja suurkaupoissa.

Jos tunnet olosi fyysisesti turvattomaksi pankkiautomaatilla tai huoltoasemalla, koska epäilyttävät henkilöt makaavat pysäköidyssä autossa katsomassa terminaalia, mene takaisin lukittuun ajoneuvoosi, aja heti hyvin valaistulle julkiselle paikalle ja soita paikalliseen hätänumeroon (911 Yhdysvalloissa ja Kanadassa, 112 kaikkialla Euroopan unionissa, 999 Isossa-Britanniassa) tai tutustu kansainvälisten hakemistoomme hätänumerot. Noudata alla olevia ohjeita lukitaksesi korttisi, säilyttääksesi lakisääteiset petosoikeutesi ja tarkastaaksesi päätteet turvallisesti.

Tee tämä nyt

  1. Jos olet jo asettanut tai pyyhkäisenyt korttisi epäilyttävään pumppuun tai pankkiautomaattiin (tai juuri saanut petosvaroituksen kloonatusta kortista), avaa pankkisovellus välittömästi ja vaihda Lock / Freeze Card, ja ilmoittaa siitä soittamalla korttisi takapuolella olevaan numeroon Compromised ja pyydä upouusi PAN (Card Number) ja uusi PIN-koodi. Älä vain vaihda PIN-koodia säilyttäen samalla 16-numeroisen kortin numeron. Jos skimmer tai hohtava taltioi Track 2 -magneettiraidan vastaavat tiedot (PAN + Expiration Date + Service Code), varkaat voivat silti suorittaa allekirjoitus- tai varamagneettiraitatapahtumia, kunnes itse 16-numeroinen kortin numero peruutetaan pysyvästi.
  2. ÄLÄ roikertele, pussi tai murskaa epäiltyä keräinlaitetta paljain käsin, jos rikolliset saattavat istua pysäköidyssä autossa 15 metrin (50 jalan) päässä. Bluetooth-kaasupumpun keräimet (HC-05) ja Wi-Fi ATM -keräimellä on vain tehokas langaton latausalue 10 to 30 meters (33 to 100 feet), mikä tarkoittaa, että laitteen asentanut miehistö pysäköi usein tontin nurkkaan kerätäkseen kaapattuja kortteja tai noutaakseen niiden $1,000+ laitteisto. Ota nopea kuva pumpun/pankkiautomaatin numerosta ja päätteen näytöstä, kävele sisään ilmoittaaksesi asemapäällikölle (ellet epäile sisätyötä itsenäisessä kioskissa) ja soita paikalliseen poliisiin ei-hätä- tai hätäkeskukseen, jotta rikostekniset virkamiehet voivat palauttaa skimmerin muistisirun ja piilevät sormenjäljet.
  3. Jos vilpilliset pankkiautomaatin nostot tai veloitusostot ovat jo osuneet sekkitilillesi, lähetä virallinen petoskiista 48 tunnin kuluessa (2 business days) ja ota yhteyttä kirjallisesti 10 arkipäivän kuluessa. Yhdysvaltain Electronic Fund Transfer Act -lain mukaisesti (EFTA / Federal Reserve Regulation E, 12 CFR § 1005.6), jos fyysinen maksukorttisi pysyy hallussasi (eli rikolliset käyttivät kloonattua magneettiraitakopiota fyysisen korttisi varastamisen sijaan), sinulla on nolla vastuuta ($0) luvattomista siirroista, jotka on ilmoitettu 60 päivän kuluessa tiliotteen päivämäärästä, ja Ison-Britannian PSR/FCA-sääntöjen, EU:n PSD2, Kanadan käytäntösäännöt ja Australian ePayments Code -säännösten mukaan kloonattujen korttien luvattoman käytön uhrit ovat samoin oikeutettuja 100-prosenttiseen hyvitykseen, ellei pankin laiminlyönnistä tai osasta ole kyse.
  4. Ymmärrä, miksi rikolliset voivat silti kloonata modernin EMV-sirukortin: Service Code 201 -> 101 Magnetic-Stripe Downgrade Attack. Jokaista EMV-sirukorttia ei voida kryptografisesti kloonata sirukortiksi, koska siru luo ainutlaatuisen dynaamisen kryptogrammin (ARQC) jokaisesta tapahtumasta. Sirun lukemisen aikana EMV-siru lähettää kuitenkin salaamattoman kopion kortin magneettiraitatiedoista (Tag 57: Track 2 Equivalent Data), puuttuu vain 3-numeroinen magneetti CVV1/iCVV. Jos pankkiautomaatti tai kauppa sallii Magnetic-Stripe Fallbackin tai ei pysty vahvistamaan iCVV vs. CVV1, rikolliset polttavat hohtavan sirutietosi tyhjälle magneettikortille, vahingoittavat väärennettyä sirua niin, että pankkiautomaatti putoaa takaisin magneettiraidalle, ja nosta käteistä kirjoittamalla kameraan tallennetun PIN-koodisi.
  5. Vaihda kaikki tulevat huoltoasema-, pankkiautomaatti- ja vähittäismaksut maksuun Smartphone NFC Tap-to-Pay (Apple Pay, Google Wallet, Samsung Wallet) fyysisen muovikortin asettamisen tai pyyhkäisemisen sijaan. Kun pidät iPhonea, Apple Watchia tai Android-puhelinta kontaktitonta NFC symboli bensapumpussa tai pankkiautomaatissa, todellinen 16-numeroinen korttisi numero on ei koskaan lähetetty; sen sijaan puhelin lähettää tokenoidun laitteen tilinumeron (DAN).
  6. Peitä aina kätesi kokonaan toisella kädelläsi tai lompakollasi, kun kirjoitat 4-numeroista PIN-koodia, vaikka kortinlukija olisi läpäissyt vetotestin. Sisäiset nauhaskimmerit ja EMV-hohtimet ovat täysin näkymättömiä koneen ulkopuolelta, eikä kumpikaan voi tyhjentää sekkitiliäsi pankkiautomaatissa ilman 4-numeroista PIN-koodiasi. Näytön yläpuolelle tai esitepidikkeiden sisään piilotettujen neulanreikäkameroiden näkökentän estäminen pysäyttää pankkiautomaattien nostohyökkäykset kylmänä.
flowchart TD
    A["Epäilty Skimmer / Shimmer Encounter tai selittämätön pankkiautomaatti / korttipetos"] --> B{"Tuliko pankki- tai luottokorttitilillesi jo vilpillisiä maksuja?"}
    B -->|"Kyllä: Tili tyhjennetty tai luvattomat veloitukset odottavat"| C["1. Jäädytä kortti mobiilisovelluksessa + Soita pankin petososastolle PAN-koodin peruuttamiseksi ja uuden kortin myöntämiseksi + uusi PIN-koodi"]
    C --> D{"Oliko se pankkikortti (sekkitili) vai luottokortti?"}
    D -->|"Pankkikortti (tilin käteistä puuttuu)"| E["Käytä asetusta E (US) / PSD2 (EU/UK): Fyysistä korttia EI KOSKAAN kadonnut (kloonattu kortti = 0 dollarin vastuu) + vaadi 10 päivän väliaikainen luotto"]
    D -->|"Luottokortti"| F["Käytä FCBA:ta (Yhdysvallat) / Card Network Zero Liability: Kiista veloitukset välittömästi; nolla käteistä menetettyä"]
    B -->|"Ei: huomasit juuri tai käytit epäilyttävää kaasupumppua tai pankkiautomaattia"| G["ÄLÄ koske enempää, jos katsot; valokuva pumpun/pankkiautomaatin tunnus, poistu alueelta turvallisesti ja ilmoita poliisille + pankille"]
    G --> H["Jäädytä välittömästi asettamasi kortti ja vaihda PIN-koodi pankkisovelluksesta varotoimenpiteenä"]

Diagnostiikkamatriisi: maksupäätehyökkäysten neljä laitteistosukupolvea

Monet kuluttajat uskovat edelleen, että vihreästä muovikorttipaikasta vetäminen lujasti tarttuu jokaiseen skimmeriin. Vaikka hinaajatesti havaitsee ulkoiset peittokuvat, nykyaikaiset kuoritut syndikaatit käyttävät neljää täysin erilaista laitteistoarkkitehtuuria, joista kolmea ei voi tuntea kehystä vetämällä:

Hyökkäyslaitteistotyyppi Kuinka rikolliset asentavat sen (10 to 45 Seconds) Kuinka se varastaa korttisi tiedot ja PIN-koodin Kuinka huomaat sen ja kuinka voit voittaa sen
1. Ulkoinen kehyspäällyskerääjä + näppäimistön peitto / neulanreikäkamera Liimataan oikean pankkiautomaatin tai POS-korttipaikan päälle kaksipuolisella vaahtomuoviteipillä 5 sekunnissa, pariksi joko PIN-koodin päälle liimatulla kumikalvolla tai pienellä 1 mm (0.04 in) reikäkamera piilotettuna väärään ylävalopalkkiin tai esitepidikkeeseen. Kun korttisi liukuu ulkoisen valekehyksen läpi, sisäinen magneettinen lukupää tallentaa kappaleet 1 ja 2 (PAN, Exp, CVV1) flash-muistiin tai lähettää sen Bluetoothin/GSM:n kautta, samalla kun kamera tai väärennetty näppäimistö tallentaa PIN-koodisi. Huomannut 3 sekunnin fyysisen veto- ja kohdistustestin: Kortinlukija työntyy kauemmaksi kuin viereiset pankkiautomaatit, peittää LED-merkkivalot, heiluu, kun niitä vedetään, tai PIN-näppäimistön näppäimet tuntuvat huokoisilta ja ovat metallikehyksen tasalla. Päivistynyt: Napauttamalla maksaminen (NFC) ja peitä kätesi PIN-koodin syöttämisen aikana.
2. Sisäinen kaasupumpun nauhakeräin (Bluetooth HC-05 / HC-06) Rikolliset ostavat tehdaskaapin yleisavaimet (CH751, Gilbarco- tai Wayne-avaimet), jotka avaavat tuhansia vanhempia polttoaineautomaatteja alueella. 20 sekunnissa ne avaavat pumpun luukun, irrottavat tehtaan nauhakaapelin kortinlukijan takaa, kytkevät Y-splitter inline piirilevy väliin ja lukitse ovi takaisin ylös. 100 % näkymätön pumpun ulkopuolelta. Koska skimmeri sijaitsee lukitun metallikaapin sisällä aidon kortinlukijan ja pumpun emolevyn välissä, ulkokehys ja näppäimistö ovat 100 % aitoja ja vankkuja. Se sieppaa sekä kortin pyyhkäisyn/sirun lukemisen että oikean PIN-koodin sähköiset matriisisignaalit ja lähettää ne Bluetooth Classic (HC-05). Havaitsija: Tarkistetaan, onko kaasupumppukaapin oven lukon poikki oleva Vid-if-Broken -turvateippitiiviste repeytynyt tai puuttuu. Läkitetty: Käyttämällä Maksa napauttamalla (NFC) pumpulla, maksamalla huoltoaseman virallisella älypuhelinsovelluksella (joka käynnistää pumpun autosi sisältä) tai valitsemalla kassan ikkunaa lähinnä olevan pumpun.
3. Syvä-insert ATM / POS EMV Shimmer (0.15 mm / 0.006 in Joustava piirilevy) Rikolliset asettavat jäykän kantokortin aitoon EMV-sirupaikkaan, joka jättää jälkeensä paperin ohuen (0.15 mm / 0.006 in) kapton flex-PCB, jossa kullanväriset kosketustyynyt molemmilla puolilla, jotka on kiilattu syvälle sirunlukijan kurkun sisään. Kun painat sirukorttisi aukkoon, se liukuu hohtavan ja todellisten lukijakoskettimien välissä. Kiilto salakuuntelee passiivisesti ISO/IEC 7816 kello- ja I/O-linjat sirun ja pankkiautomaatin välillä, tallennus Tag 57 (Track 2 Equivalent Data) Piilotettu reikäkamera tallentaa PIN-koodin kirjoittamisen. Huomaa "Insert Friction": Sirukorttisi tuntuu huomattavasti tiukalta, karkealta tai vaatii ylimääräistä voimaa työntyäkseen kokonaan aukkoon tai ei napsahda sisään niin syvälle kuin normaalisti. Päivistynyt: Napauttamalla puhelinta (Apple Pay / Google Wallet) tai kortti NFC lukijaa sen sijaan, että asetat sirun fyysiseen paikkaan.
4. Langaton "Ghost Tap" / NFC Relay Skimming (vs. The RFID Wallet Myth) Tärkeä todellisuuden tarkistus: Varas törmää taskuusi piilotetulla POS-päätteellä ei voi kloonata korttiasi toistuvaa käyttöä varten, eikä hän voi saada käteistä, koska se on kontaktiton EMV NFC luo kertaluonteisen dynaamisen kryptogrammin (CVV3 / dCVV) ilman kortinhaltijan nimeä tai laskutusosoitetta. Pahimmillaan rekisteröity petollinen kauppiaspääte tai NFC-rele (NFCGate). Välittää live-kontaktittoman haaste-vastauksen matkapuhelindatan kautta kassapäätteessä seisovalle rikoskumppanille yhdellä napautuksella tai laskuttaa rekisteröityä vilpillistä kauppiastiliä (joka suljetaan heti, kun uhrit kiistävät sen). ** Älypuhelinlompakot voittivat 100 % (Apple Pay / Google Pay):** Toisin kuin fyysiset muoviset kontaktittomat kortit (jotka vastaavat automaattisesti aina, kun ne asetetaan sisään 4 centimeters / 1.5 inches aktiivisesta 13.56 MHz RF-kenttä), älypuhelimen NFC-radio kieltäytyy lähettämästä yhtä maksutavua, ennen kuin todennat Face ID-, Touch ID-, sormenjälki- tai pääsykoodilla.

Vaihe 1: 15 sekunnin pyyhkäisyä edeltävä fyysinen ja Bluetooth-tarkastusprotokolla

Aina kun nouset valvomattoman polttoainepumpun, erillisen lähikaupan pankkiautomaatin, pysäköintihallin maksupisteen tai turistialueen pankkiautomaatin luo, suorita tämä 15 sekunnin tarkastus ennen kuin vedät fyysisen kortin lompakostasi:

1. 4-pisteen fyysisen tarkastuksen tarkistuslista

  1. Tarkista kaasupumppujen kaapin turvateippi: Katso saumaa, jossa ylempi polttoaineen annostelijan luukku kohtaa rungon (oikein putkimaisen avainlukon vieressä). Hyvämaineiset asemat kiinnittävät kirkkaan Tamper-Evident Security Sealin tämän sauman yli. Jos tarra on leikattu puoliksi, irrotettu tai siinä on sana VOID toistuvilla kirjaimilla, älä aseta korttia pumppuun; valitse pumppu suoraan hoitajan ikkunan edessä tai maksa NFC napauttamalla maksamalla.
  2. Vertaa viereisiä terminaaleja vierekkäin (The Symmetry Check): Vertaa missä tahansa pankissa tai vähittäiskaupan eteisessä, jossa on kaksi tai useampia pankkiautomaatteja tai itsekassan päätelaitteita, korttipaikan kehystä ja PIN-koodialustan upotettua syvyyttä koneen vieressä olevaan laitteeseen. Jos yksi kortinlukija jää ulos 1 centimeter (0.4 inches) lisäksi siltä puuttuu naapurin vilkkuvat vihreät LED-paikkavalot tai se estää osan kojelaudan painetusta grafiikasta, sillä on päällä peittokeräin.
  3. Suorita kiinteä 2-sormen kehyksen ja näppäimistön heilutus: Tartu muovikortinlukijakoteloon tiukasti peukalon ja etusormen välissä ja heiluta sitä ylös, alas ja sivulta toiselle. Aidot teolliset pankkiautomaattien ja polttoainepumppujen kortinlukijat on pultattu teräsrungon sisäpuolelta, eivätkä ne horju. Vedä seuraavaksi kynttäsi numeerisen PIN-näppäimistön ulkoreunaa pitkin: jos ruostumattomasta teräksestä valmistetut näppäimet ovat upotettuina paksun kohotetun muovihuulen sisään, joka heiluu hieman kulmista, oikean näppäimistön päällä on väärennetty PIN-näppäimistö.
  4. ** Tuntuu EMV Shimmer Slot Resistance:** Jos sinun on asetettava fyysinen sirukortti, kiinnitä huomiota mekaaniseen luistiin. Tinkimätön EMV-paikka ohjaa 0.76 mm (0.030 in) korttia tasaisesti, kunnes se napsahtaa taaksepäin takaisinkytkennän kytkintä vasten. Jos kortti naarmuuntuu, takertuu puoliväliin tai tuntuu siltä, ​​että kiilaat sen liian tiukkaan korttipaikkaan, vedä kortti heti takaisin ulos kirjoittamatta PIN-koodia.

2. Miksi "Bluetooth Skimmer-skannerisovellukset" nappaavat vain vanhoja kaasupumppujen skimmerejä

Olet ehkä kuullut neuvoja avata puhelimesi Bluetooth-asetukset bensapumpussa ja etsiä laitetta nimeltä HC-05, HC-06 tai RNBT-xxxx. * Kuinka se toimii: Ensimmäisen sukupolven sisäiset kaasupumpun nauhakeräimet käyttävät halpoja hyllyltä saatavia sarja-Bluetooth Classic -moduuleja (HC-05, oletuspariliitoksen PIN-koodi 1234 tai 0000), jotka lähettävät jatkuvasti läsnäoloaan tavallisissa Bluetooth-kyselyskannauksissa. Jos avaat älypuhelimesi Bluetooth-pariliitosvalikon aivan kaasupumpun edessä ja näet merkitsemättömän HC-05 laite, jolla on maksimi signaalinvoimakkuus (-35 dBm kohtaan -50 dBm), tuo pumppu sisältää lähes varmasti sisäisen Bluetooth-keräimen. * Miksi sinun ei KOSKAAN pidä luottaa pelkästään Bluetooth-skannaukseen: Nykyaikaiset selauslaitteet joko poistavat Bluetoothin havaittavuuden (Non-Discoverable Mode), käytä matkapuhelinverkon LTE-M / NB-IoT eSIM-modeemeja, jotka välittävät varastetut kortit suoraan Telegram-botille soluverkon kautta tai tallentavat tietoja passiivisesti sisäiselle microSD-sirulle (EMV shimmers). Käsittele positiivista HC-05 havainto todisteena skimmeristä, mutta älä koskaan oleta, että pumppu on puhdas vain siksi, että Bluetooth ei näytä mitään.

Vaihe 2: Miksi pankkikorttien keraaminen on 10 kertaa vaarallisempaa kuin luottokorttien keraaminen (ja kuinka saada rahasi takaisin nopeasti)

Jos sinun on asetettava fyysinen muovikortti huoltoasemalle, ravintolaan, hotelliin tai pysäköintimittariin, jossa Tap-to-Pay on rikki, käytä aina luottokorttia, älä koskaan ensisijaiseen tiliisi yhdistettyä pankkikorttia.

1. Laki- ja kassavirtaero luotto- ja pankkikorttien välillä

tekijä Fyysinen luottokortti rasvaton Fyysinen pankkikortti / ATM-kortti rasvattu
Kenen rahat varastettiin? Pankin rahat. Luvattomat veloitukset ovat vain odottavia rivejä luottorajassasi, kun taas henkilökohtaisen shekkitilin käteisvarat (vuokrat, asuntolainat, päivittäistavarat ja apuohjelmat) pysyvät 100 % koskemattomina. Todellinen rahasi. Kun varas käyttää pankkiautomaatissa kloonattua kopiota pankkikortistasi ja kameran tallentamasta PIN-koodista, $500 kohtaan $2,000 oikea käteinen katoaa suoraan sekkitilin saldosta välittömästi, mikä saattaa aiheuttaa vuokra- tai asuntolainamaksusi pomppimisen.
Yhdysvaltain lakisääteinen vastuu (FCBA vs. EFTA / Reg E) Fair Credit Billing Act -lain mukaisesti (FCBA, 15 U.S.C. § 1643), lakisääteinen vastuu on rajoitettu $50 maksimi ($0 käytännössä Visa/Mastercard/Amex/Discover Zero Liability -käytännöissä) ja 0$, jos fyysinen kortti ei ole kadonnut (kloonattu kortti). Sähköisen varojen siirtolain mukaisesti (EFTA / Regulation E, 12 CFR § 1005.6):
• KLOONATUJEN KORTTIEN KRIITTINEN SÄÄNTÖ: Jos fyysinen maksukorttisi on edelleen hallussasi (eli se on luvattu/kloonattu, ei fyysisesti kadonnut tai varastettu), normaali $50 / $500 2 päivän/60 päivän tappiosakkoja EI sovelleta; lakisääteinen vastuusi on $0 kunhan ilmoitat luvattomasta siirrosta 60 päivän kuluessa siitä, kun pankki on lähettänyt petoksen osoittavan tiliotteen.
Kuinka kauan pankilla voi kestää käteisen palauttaminen sekkitilillesi? Luottokorjaus on välitön (1 to 2 days), etkä koskaan joudu maksamaan kiistanalaista maksua pankin tutkiessa asiaa. säännön E (12 CFR § 1005.11(c)), pankilla on enintään 10 arkipäivää (tai 20 arkipäivää täysin uusilla tileillä, jotka on avattu 30 päivän sisällä) ennen kuin hyvittää rahasi takaisin väliaikaisen hyvityksen avulla, kun taas pankilla kuluu jopa 45-90 päivää taustatoimiston tutkimuksen loppuun saattamiseksi.

Warning

Miten pankit epäoikeudenmukaisesti hylkäävät pankkiautomaattien sivuutusvaatimukset ("sirua ja PIN-koodia käytettiin, joten sen on täytynyt olla sinä") ja miten voit voittaa kiistasi: Kun varas käyttää kloonattua kopiota pankkikortistasi ja tallennetusta PIN-koodistasi nostaakseen käteistä pankkiautomaatista, jotkin Tier-1 pankin puhelukeskuksen skriptit syötettiin oikein: *PIN-koodisi hylättiin automaattisesti: D ensimmäisellä yrittämällä." ÄLÄ hyväksy kieltäytymistä. Lähetä välittömästi virallinen kirjallinen eskalaatio (ja valitus CFPB:lle osoitteessa consumerfinance.gov Yhdysvalloissa Financial Ombudsman Service (FOS) Isossa-Britanniassa tai OBSI Kanadassa) vaatien, että pankki tarkastaa raaka ISO 8583 / EMV Transaction Log (POS Entry Mode / DE 22) kiistanalaisen pankkiautomaatin noston osalta: Aito sirun lukutietueita **klzxh:0106 (Integrated Circuit Card / EMV Chip) kryptografialla ARQCiikkeeseenlaskijan vahvistama. Kloonattu skimmeri/shimmer-kort ei voi väärentää EMV-sirun salausgrammia, joten varkaan pankkiautomaatin nosto näyttää POS Entry Mode = 90 (Magnetic Stripe Full Track Read) tai POS Entry Mode = 80 (Fallback from Chip to Magnetic Stripe), mikä todistaa matemaattisesti, että rikollinen käytti kloonattua magneettiraitakorttia, vaikka aito EMV-sirukorttisi ei koskaan lähtenyt kotoa.

Vaihe 3: Vaiheittainen hätäapu, kun korttisi kloonataan ja tilisi tyhjennetään

Jos saat tekstihälytyksen tai avaat pankkisovelluksesi ja näet luvattomia pankkiautomaattien nostoja, huoltoasemien valtuutuksia ($1.00 pre-auth ja sen jälkeen $125.00 polttoaineostot) tai juuri nyt tapahtuvat lahjakorttiostot:

Vaihe 1: Lukitse kortti, peruuta PAN ja valokuvaa fyysinen korttisi kädessäsi (First 5 Minutes)

  1. Avaa pankkisi mobiilisovellus ja käännä Lock / Freeze Card vaihda välittömästi.
  2. Soita pankin 24/7 petososastolle käyttämällä korttisi takapuolelle painettua numeroa. Kerro edustajalle:

    "Tarkastelen tällä hetkellä [Kaupungissa/Sijaintissa] tapahtuvia luvattomia vilpillisiä tapahtumia ja pidän alkuperäistä fyysistä korttiani kädessäni täällä kotona [Sinun kaupungissa]. Korttini on luvattu ja kloonattu. Sulje pysyvästi tämä 16-numeroinen korttinumero, anna korvaava kortti uudella PIN-koodilla ja avaa luvaton sähköinen varojen siirtohakemus."

  3. Miksi sinun pitäisi ottaa aikaleimattu selfie tai käyttää korttiasi paikallisesti tai kirjautua pankkisovellukseesi heti: Jos varas käytti juuri kloonattua kopiota kortistasi pankkiautomaatissa Miamissa klo. 14:12 kun seisot Seattlessa ja todistat, että sinä ja fyysinen EMV-sirukorttisi olitte 4 000 kilometrin (2 500 mailin) päässä 14:15 tuhoaa kaikki pankkivaatimukset, jotka olet valtuuttanut noston.

Vaihe 2: Tee ilmoitus paikallispoliisille ja hanki tapausnumero (First 24 Hours)

Aina kun käteistä varastetaan pankkiautomaatin nostolla (toisin kuin yksinkertaista verkkokorttia ilman korttia), pankit tarkistavat rutiininomaisesti, oletko tehnyt ilmoituksen poliisille, ja pankkiautomaateissa on sisäänrakennetut kasvojen tasolla olevat CCTV-kamerat, jotka tallentavat selkeän kuvan koneen edessä seisovasta henkilöstä noston tarkalla aikaleimalla. 1. Soita paikallisen poliisilaitoksen hätänumeroon (tai käytä heidän online-taloudellista rikosportaaliaan) tehdäksesi Identity Theft / Payment Card Skimming Report. 2. Anna tarkat päivämäärät, kellonajat, dollarimäärät ja pankkiautomaattien päätteiden sijainnit/tunnukset pankkisovelluksestasi ja kirjoita muistiin Poliisiraportti / tapausnumero, joka liitetään kirjalliseen ilmoitukseesi pankkillesi.

Vaihe 3: Lähetä kirjallinen Regulation E / Lakisääteinen riitailmoitus (Within 48 Hours to 10 Days)

Yhdysvaltain säännön E (12 CFR § 1005.11(b)(2)), pankki, joka lähettää petosvaatimuksen puhelimitse, voi lain mukaan vaatia sinua lähettämään kirjallisen vahvistuksen 10 arkipäivän kuluessa, ja jos et lähetä pyydettäessä kirjallista vahvistusta, pankilla on laillinen oikeus pidättää väliaikaista luottoa enintään 45 päivän ajan, kun sekkitilisi on tyhjä. * Jatka puheluasi aina lähettämällä pankin suojatun verkkoviestikeskuksen (tai Certified Mail) kautta kirjallinen kiistaviesti, jossa sanotaan: 1. Nimesi ja tilinumerosi; 2. Jokainen luvaton tapahtumapäivä, kauppiaan/pankkiautomaatin sijainti ja tarkka dollarimäärä; 3. Nimenomainen vahvistus siitä, että fyysinen korttisi oli koko ajan hallussasi ja että tapahtumat suoritettiin kloonatun kortin kautta (POS Entry Mode 90 / 80); 4. poliisin ilmoitusnumerosi; ja 5. Pyyntö väliaikaista luottoa varten 10 arkipäivän sisällä alla 12 CFR § 1005.11(c) ja pankkiautomaatin CCTV-materiaalin ja ISO 8583 -standardin säilyttäminen POS Entry Mode lokit.

Ennaltaehkäisyn tarkistuslista: tee itsestäsi 100 % immuuni kuoriville ja hohtoille

  • Käytä Apple Pay, Google Wallet, tai Samsung Wallet (NFC Tap-to-Pay) jokaisessa bensapumpussa, pankkiautomaatissa ja kaupassa, jossa on kontaktiton symboli: Vaikka bensapumppu tai pankkiautomaatti olisi ladattu ulkoisella peitelevyllä, sisäisellä Bluetooth-nauhakeräimellä JA syvälle upotetulla EMV-kiiltolaitteella samaan aikaan, napauttamalla puhelinta tai kelloa NFC pad ohittaa fyysisen paikan kokonaan ja lähettää kertaluonteisen tokenoidun kryptogrammin, jota ei voida toistaa tai kloonata.
  • **Poista "Kansainväliset tapahtumat" käytöstä ja aseta alhainen "Päivittäinen pankkiautomaatin käteisnostoraja" (e.g., $100 or $0). Kansainvälisen käytön ja pankkiautomaatin käteisen käytön pitäminen OFF-asennossa pankkisovelluksessasi (kunnes pankkiautomaattia tarvitsee käyttää 2 minuuttia) estää kloonatut nostot automaattisesti.
  • Ota käyttöön reaaliaikaiset push-ilmoitukset jokaiselle tapahtumalle $0.01: Määritä pankki- ja luottokorttisovelluksesi lähettämään välitön push-ilmoitus heti ennakkovaltuutuksen jälkeen ($1.00 kaasupumpun testi) tapahtuu.
  • Älä koskaan käytä erillisiä korkeahintaisia pankkiautomaatteja hämärässä valaistussa lähikaupoissa, baareissa tai turistikaduilla: Jos tarvitset käteistä, käytä pankkiautomaattia, joka sijaitsee suuren pankkikonttorin lukitussa aulassa tai hyvin valaistussa sisähallissa, jossa pankkitason tärinää estävät kehykset ja sähkömagneettiset häiriönäytöt ovat aktiivisia.

Usein kysytyt kysymykset

Pitääkö minun ostaa erityinen "RFID-estolompakko" tai metalliholkki estääkseni varkaita luistamasta korttejani kävellessäni kadulla?

Ei; liittovaltion ja pankkien kyberturvallisuusvirastot (mukaan lukien Yhdistyneen kuningaskunnan kansallinen kyberturvallisuuskeskus ja kuluttajansuojaelimet) korostavat, että langaton katukävely "RFID-skimming" on suurelta osin markkinointimyytti verrattuna fyysisiin päätteiden keraajiin ja online-tietomurroihin. Nykyaikaiset kontaktittomat maksukortit eivät käytä passiivisia staattisia RFID-viivakoodeja; he käyttävät `ISO/IEC 14443` Kontaktiton EMV-protokolla, joka vaatii aktiivisen virtalähteen 2-4 senttimetrin (0,8-1,6 tuuman) säteellä ja lähettää kertaluonteisen dynaamisen salauskoodin ilman kortinhaltijan nimeä, laskutusosoitetta tai 3-numeroista painettua CVV2-suojakoodia. Et voi luoda magneettiraidan kloonia kosketuksettomasta kosketuksesta. Voit käyttää paljon paremmin Apple Payta tai Google Walletia bensapumpuilla ja käden peittämistä kirjoitettaessa PIN-koodia.

Kuinka joku voisi kloonata EMV-sirukorttini bensapumpulla tai pankkiautomaatilla, jos EMV-sirujen oletetaan olevan mahdotonta kloonata?

Vaikka EMV-sirukorttisi sisällä olevaa mikroprosessoria ei voi kopioida toiseksi toimivaksi sirukortiksi, EMV-spesifikaatio edellyttää, että siru tallentaa ja lähettää taaksepäin yhteensopivan kopion magneettiraitatiedoistasi (`Tag 57: Track 2 Equivalent Data`) jokaisen sirutapahtuman aikana. Kun korttipaikan sisällä oleva erittäin ohut **EMV-hohto** tallentaa sen `Tag 57` stream (tai kun sisäinen kaasupumpun keruulaite lukee magneettiraitaasi, kun työnnät korttia sisään), rikolliset kirjoittavat tiedot tyhjälle magneettiraitakortille. Vaikka oikean pankkijärjestelmän pitäisi hylätä tuo magneettinen klooni, koska siru on `iCVV` dynaaminen vahvistusarvo eroaa magneettijuovan arvosta `CVV1`, huonosti määritetyt pankkiautomaatit tai kauppiaat, jotka sallivat edelleen magneettiraidan varauksen, hyväksyvät kloonatun pyyhkäisyn ja tyhjentävät tilisi.

Jos vedän bensapumpun kortinlukijaa ja kädessäni irtoaa väärennetty muovinen skimmeri, mitä minun pitäisi tehdä?

Ensinnäkin, katso ympärillesi henkilökohtaisen turvallisuutesi vuoksi: siivousryhmät pysäköivät usein 15-30 metrin (50-100 jalan) päähän pumpusta ladatakseen varastetun kortin tiedot Bluetoothin kautta tai katsellakseen laitteistoaan. Älä kohtaa ketään ja vältä sisäpiirilevyn käsittelemistä paljain sormin, jotta lainvalvontaviranomaiset voivat poistaa piileviä sormenjälkiä tai DNA:ta kaksipuolisista teipistä ja juotosliitoksista. Astu takaisin autoosi tai kävele asemalle, soita paikalliselle poliisille (`911` / `112` / `999` tai paikallisen toimipisteen tiskille) ilmoittaa aktiivisen maksukortin keruun löytämisestä Pump #X:stä, ja jos olet jo laittanut korttisi paikalleen ennen sen löytämistä, jäädytä korttisi välittömästi pankkisovelluksessasi.

Pankkini sanoo, että he eivät hyvitä 600 dollarin vilpillistä pankkiautomaattinostoa, koska käytettiin 4-numeroista PIN-koodiani. Onko se laillista?

Yhdysvaltain elektronisen varojen siirtolain mukaan (`Regulation E`, `12 CFR § 1005.6`), Ison-Britannian maksupalvelusäännökset ja EU PSD2, pelkkä seikka, että varas nappasi ja kirjoitti nelinumeroisen PIN-koodisi (reikäkameran tai näppäimistön avulla), **ei** tee tapahtumasta valtuutettua, eikä se muodosta asiakasvastuuta, kun korttisi luvattiin. Yhdysvaltain asetuksen E kommenttien ja CFPB:n täytäntöönpanoohjeiden mukaan todistustaakka on tiukasti rahoituslaitoksella (`15 U.S.C. § 1693g(b)`). Eskaloi kiistasi kirjallisesti, tee ilmoitus poliisille ja tee virallinen valitus kuluttajansuojavirastolle (`consumerfinance.gov`) tai kansallinen pankkioikeusasiamies, joka vaatii raakaa `POS Entry Mode` (`05` vs `90`/`80`) ja pankkiautomaatin kameralokit.

Aiheeseen liittyviä oppaita

Lähteet tarkistettu

  • Federal Bureau of Investigation (FBI) ja Yhdysvaltain salainen palvelu (USSS) (Yhdysvallat): National Cyber Investigative Joint Task Force -hälytykset maksukorttien kuorimisesta, syvälle upotetuista EMV-kiiltomerkeistä ja polttoaineen annostelijoista Bluetooth-kuorimista.
  • Consumer Financial Protection Bureau (CFPB) (Yhdysvallat): Electronic Fund Transfer Act (Regulation E, 12 CFR Part 1005.6 ja 1005.11 Viralliset tulkinnat kloonattujen korttien vastuusta ja väliaikaisista luottovaatimuksista).
  • EMVCo (International): EMV Integrated Circuit Card Specifications for Payment Systems (Tag 57 Raita 2 vastaavat tiedot, dynaaminen iCVV todentaminen ja kontaktiton tokenointi).
  • PCI Security Standards Council (PCI SSC) (kansainvälinen): Skimming Prevention: Yleiskatsaus kauppiaiden ja terminaalien tarkastuksen parhaisiin käytäntöihin.
  • UK Finance & Financial Conduct Authority (FCA) (Yhdistynyt kuningaskunta): Payment Services Regulations (PSR) Luvattomien maksutapahtumien hyvitysoikeudet ja pankkiautomaatin suojausohjeet.