Gasspumpeskimmere, ATM EMV-skimmere og klonede korttriage¶

Enten du nettopp tok plastkortleseren på en bensinstasjonspumpe eller minibank og kjente en løs falsk ramme sprette av i hånden, la merke til at det å sette inn chipkortet føltes uvanlig stramt på grunn av et papirtynt internt EMV-glimmer, eller bare fikk et mobilbankvarsel om at noen tar ut $800 i kontanter fra en minibank tre byer unna mens det fysiske debetkortet ditt sitter trygt i din egen lommebok, har du å gjøre med fysisk betalingsterminalkompromiss (card skimming eller shimming). Moderne organiserte skimmingsmannskaper stoler ikke lenger utelukkende på store plastoverlegg limt på utsiden av en pumpe: de bruker universelle drivstoffdispensernøkler for å installere usynlige interne båndkabelskimmere med HC-05 / HC-06 Bluetooth-radioer inne i pumpeskapet, skyv 0.15 millimeter (0.006 inch) fleksible kretskort (EMV shimmers) direkte inn i brikkesporet sammen med skjulte kamerastenger eller ultratynne tastaturoverlegg for å stjele den 4-sifrede PIN-koden din, og skriv de stjålne Track 2-dataene på tomme magnetstripe "hvite kort" for å tømme kontoer i eldre minibanker og store butikker.

Hvis du føler deg fysisk utrygg ved en minibank eller bensinstasjon fordi mistenkelige personer slentrer i en parkert bil og ser på terminalen, sett deg tilbake i ditt låste kjøretøy, kjør umiddelbart til et godt opplyst offentlig sted og ring ditt lokale nødnummer (911 i USA og Canada, 112 over hele EU, 999 i Storbritannia) eller se vår katalog over internasjonale nødnummer. Følg trinnene nedenfor for å låse kortet ditt, bevare dine lovbestemte nullansvarssvindelrettigheter og inspisere terminaler trygt.

Gjør dette nå¶

1. Hvis du allerede har satt inn eller sveipet kortet inn i en mistenkelig pumpe eller minibank (eller nettopp har mottatt et svindelvarsel for et klonet kort), åpne bankappen din umiddelbart og veksle Lock / Freeze Card, ring deretter nummeret på baksiden av kortet ditt for å rapportere det Compromised og be om et splitter nytt PAN (kortnummer) og ny PIN-kode. Ikke bare endre PIN-koden din mens du beholder det samme 16-sifrede kortnummeret. Hvis en skimmer eller shimmer fanget dataene dine med Track 2 magnetstripe (PAN + Expiration Date + Service Code), kan tyver fortsatt utføre signatur- eller reservetransaksjoner med magnetstripe til selve det 16-sifrede kortnummeret er permanent kansellert.
2. IKKE lirke av, lomme eller knuse en mistenkt skimmerenhet med bare hender hvis kriminelle sitter i en parkert bil 15 meter unna. Bluetooth-bensinpumpeskimmere (HC-05) og Wi-Fi ATM-skimmere har et effektivt trådløst nedlastingsområde på kun 10 to 30 meters (33 to 100 feet), noe som betyr at mannskapet som installerte enheten ofte parkerer i hjørnet av tomten for å høste fangede kort eller hente sine $1,000+ maskinvare. Ta et raskt bilde av pumpe-/minibanknummeret og terminalskjermen, gå inn for å varsle stasjonslederen (med mindre du mistenker en innsidejobb i en uavhengig kiosk), og ring det lokale politiets ikke-nød- eller nødutsending slik at krimteknikere kan gjenopprette skimmerens minnebrikke og latente fingeravtrykk.
3. Hvis falske minibankuttak eller debetkjøp allerede har truffet brukskontoen din, send inn en formell svindeltvist innen 48 timer (2 business days) og følg opp skriftlig innen 10 virkedager. I henhold til USAs Electronic Fund Transfer Act (EFTA / Federal Reserve Regulation E, 12 CFR § 1005.6), hvis det fysiske debetkortet ditt fortsatt er i din besittelse (som betyr at kriminelle brukte en klonet magnetstripekopi i stedet for å stjele det fysiske kortet ditt), har du null ansvar ($0) for uautoriserte overføringer rapportert innen 60 dager etter kontoutskriftsdatoen, og i henhold til britiske PSR/FCA-regler, EU PSD2, kanadisk Code of Practice og australske ePayments Code, har ofre for klonet kortskimming på samme måte rett til en 100 prosent refusjon for uaktsomhet eller uaktsomhet fra banken.
4. Forstå hvorfor kriminelle fortsatt kan klone et moderne EMV-brikkekort: det Service Code 201 -> 101 Magnetic-Stripe Downgrade Attack. Hvert EMV-brikkekort kan ikke klones kryptografisk som et brikkekort fordi brikken genererer et unikt dynamisk kryptogram (ARQC) for hver transaksjon. Under en brikkelesing sender imidlertid EMV-brikken en ukryptert kopi av kortets magnetstripedata (Tag 57: Track 2 Equivalent Data), mangler bare den 3-sifrede magneten CVV1/iCVV. Hvis en minibank eller butikk tillater Magnetic-Stripe Fallback eller ikke klarer å bekrefte iCVV vs. CVV1, kriminelle brenner de skimrende brikkedataene dine på et blankt magnetkort, skader den falske brikken slik at minibanken faller tilbake til magnetstripen, og skriv inn den kameraregistrerte PIN-koden for å ta ut penger.
5. Bytt alle fremtidige bensinstasjoner, minibanker og detaljbetalinger til Smartphone NFC Tap-to-Pay (Apple Pay, Google Wallet, Samsung Wallet) i stedet for å sette inn eller sveipe et fysisk plastkort. Når du holder iPhone, Apple Watch eller Android-telefon opp mot den kontaktløse NFC symbol ved en bensinpumpe eller minibank, blir ditt virkelige 16-sifrede kortnummer aldri overført; i stedet sender telefonen et tokenisert enhetskontonummer (DAN) sammenkoblet med en kryptografisk nøkkel for engangsbruk som er 100 prosent ubrukelig for enhver skimmer, shimmer eller trådløs sniffer.
6. Dekk alltid hånden helt med den andre hånden eller lommeboken når du skriver inn den 4-sifrede PIN-koden, selv om kortleseren bestod slepeprøven. Interne båndskimmere og EMV-skimmere er helt usynlige fra utsiden av maskinen, og ingen av dem kan tømme brukskontoen din i en minibank uten din 4-sifrede PIN-kode. Blokkering av siktlinjen til pinhole-kameraer gjemt over skjermen eller inne i brosjyreholdere stopper minibankutbetalingsangrep kalde.

flowchart TD
    A["Mistenkt skimmer-/glimtoppmøte eller uforklarlig minibank-/kortsvindel"] --> B{"Har uredelige belastninger allerede rammet bank- eller kredittkortkontoen din?"}
    B -->|"Ja: Uttømte kontoer eller uautoriserte belastninger venter"| C["1. Frys kortet i mobilappen + Ring banksvindelavdelingen for å kansellere PAN og utstede nytt kort + ny PIN-kode"]
    C --> D{"Var det et debetkort (sjekkkonto) eller kredittkort?"}
    D -->|"Debetkort (mangler kontanter på kontoen)"| E["Påkall forskrift E (USA) / PSD2 (EU/UK): Fysisk kort ble ALDRI tapt (klonet kort = $0 ansvar) + krev 10-dagers foreløpig kreditt"]
    D -->|"Kredittkort"| F["Påkalle FCBA (US) / Card Network Zero Ansvar: Bestride kostnader umiddelbart; null kontanter tapt"]
    B -->|"Nei: Du har nettopp oppdaget eller brukt en mistenkelig bensinpumpe eller minibank"| G["IKKE rør videre hvis du ser på; fotografere pumpe-/minibank-ID, forlat området trygt og varsle politi + bank"]
    G --> H["Frys umiddelbart kortet du nettopp satte inn og endre PIN-koden fra bankappen din som en forholdsregel"]

Diagnostisk matrise: de 4 maskinvaregenerasjonene med betalingsterminalangrep¶

Mange forbrukere tror fortsatt at å trekke hardt i det grønne plastkortsporet fanger hver eneste skimmer. Mens tautesten fanger utvendige overlegg, bruker moderne skimmingsyndikater fire helt forskjellige maskinvarearkitekturer, hvorav tre ikke kan kjennes ved å dra i rammen:

Fase 1: Den 15-sekunders pre-swipe fysiske og Bluetooth-inspeksjonsprotokollen¶

Hver gang du kjører opp til en ubetjent bensinpumpe, frittstående minibank i nærbutikk, betalingsstasjon i parkeringshus eller minibank i turistområdet, kjør denne 15-sekunders inspeksjonen før du trekker et fysisk kort ut av lommeboken:

1. 4-punkts sjekkliste for fysisk inspeksjon¶

1. Sjekk skapsikkerhetstapen ved gasspumper: Se på sømmen der den øvre drivstoffbeholderdøren møter rammen (rett ved siden av den rørformede nøkkellåsen). Anerkjente stasjoner legger et lyst selvklebende Tamper-Evident Security Seal over den sømmen. Hvis klistremerket er delt i to, skrellet tilbake eller viser ordet VOID med gjentatte bokstaver, ikke sett inn et kort i den pumpen; velg en pumpe rett foran vaktmesterens vindu eller betal med NFC-trykk-til-betal.
2. Sammenlign naboterminaler side om side (The Symmetry Check): I en hvilken som helst bank eller forhandlerhall med to eller flere minibanker eller selvutsjekkingsterminaler, sammenligne kortsporrammen og PIN-kodens innfelte dybde på maskinen med maskinen rett ved siden av. Hvis en kortleser stikker ut 1 centimeter (0.4 inches) Videre mangler den blinkende grønne LED-sporlysene til naboen, eller blokkerer deler av den trykte grafikken på fascien, har den på seg en overleggsskimmer.
3. Utfør den faste 2-fingers rammen og tastaturets bevegelse: Ta godt tak i plastkortleserhuset mellom tommelen og pekefingeren og vri den opp, ned og side til side. Ekte industrielle minibank- og drivstoffpumpekortlesere er boltet fra innsiden av stålchassiset og vil ikke rikke seg. Deretter kjører du neglen langs den ytre kanten av det numeriske PIN-tastaturet: hvis tastene i rustfritt stål sitter innfelt i en tykk, hevet plastleppe som vipper litt i hjørnene, sitter en falsk PIN-platemembran på toppen av det ekte tastaturet.
4. Føl etter EMV Shimmer Spormotstand: Hvis du må sette inn et fysisk brikkekort, vær oppmerksom på det mekaniske lysbildet. En kompromissløs EMV-spor veileder 0.76 mm (0.030 in) kortet jevnt til det klikker mot tilbakestopperbryteren. Hvis kortet skraper, binder seg halvveis inn eller føles som om du kiler det inn i en altfor stram spor, trekker du kortet ut umiddelbart uten å skrive inn PIN-koden.

2. Hvorfor "Bluetooth Skimmer Scanner Apps" bare fanger eldre gasspumpeskimmere¶

Du har kanskje hørt råd om å åpne telefonens Bluetooth-innstillinger ved en bensinpumpe og se etter en enhet som heter HC-05, HC-06, eller RNBT-xxxx. * Slik fungerer det: Førstegenerasjons interne gasspumpebåndskimmere bruker billige hyllevare seriell-til-Bluetooth Classic-moduler (HC-05, standard PIN-kode for sammenkobling 1234 eller 0000) som kontinuerlig kringkaster deres tilstedeværelse i standard Bluetooth-forespørselsskanninger. Hvis du åpner smarttelefonens Bluetooth-parringsmeny rett foran en bensinpumpe og ser en umerket HC-05 enhet med maksimal signalstyrke (-35 dBm til -50 dBm), at pumpen nesten helt sikkert inneholder en intern Bluetooth-skimmer. * Hvorfor du ALDRI må stole på Bluetooth-skanning alene: Moderne skimming-enheter slår enten av Bluetooth-oppdagbarhet (Non-Discoverable Mode), bruk mobil LTE-M / NB-IoT eSIM-modemer som overfører stjålne kort rett til en Telegram-bot over mobilnettverket, eller lagre data passivt på en intern microSD-brikke (EMV shimmers). Behandle en positiv HC-05 sikt som bevis på en skimmer, men aldri anta at en pumpe er ren bare fordi Bluetooth ikke viser noe.

Fase 2: Hvorfor debetkortskimming er 10 ganger farligere enn kredittkortskimming (Og hvordan få pengene tilbake raskt)¶

Hvis du må sette inn et fysisk plastkort på en bensinstasjon, restaurant, hotell eller parkeringsmåler der Tap-to-Pay er ødelagt, bruk alltid et kredittkort, aldri et debetkort knyttet til din primære brukskonto.

1. Den juridiske og kontantstrømforskjellen mellom kredittkort og debetkort¶

Fase 3: Steg-for-steg nødrespons når kortet ditt er klonet og tømmer kontoen din¶

Hvis du mottar et tekstvarsel eller åpner bankappen din og ser uautoriserte minibankuttak, autorisasjoner på bensinstasjoner ($1.00 forhåndsgodkjenning etterfulgt av $125.00 drivstoffkjøp), eller store gavekortkjøp som skjer akkurat nå:

Trinn 1: Lås kortet, avbryt PAN, og fotografer det fysiske kortet ditt i hånden (First 5 Minutes)¶

1. Åpne bankens mobilapp og snu Lock / Freeze Card bytt umiddelbart.
2. Ring bankens 24/7 svindelavdeling ved å bruke nummeret som er trykt på baksiden av kortet ditt. Fortell representanten:

   *"Jeg ser på uautoriserte uredelige transaksjoner som skjer akkurat nå i [by/sted], og jeg holder det originale fysiske kortet mitt i hånden her hjemme i [byen din]. Kortet mitt ble skummet og klonet. Lukk dette 16-sifrede kortnummeret permanent, utsted et erstatningskort med en ny PIN-kode og åpne et uautorisert krav om elektronisk pengeoverføring.»

3. Hvorfor du bør ta en tidsstemplet selfie eller bruke kortet ditt lokalt eller logge på bankappen din med en gang: Hvis en tyv nettopp brukte en klonet kopi av kortet ditt i en minibank i Miami kl. 14:12 mens du står i Seattle og beviser at du og ditt fysiske EMV-brikkekort var 4000 kilometer unna kl. 14:15 ødelegger ethvert bankkrav som du autoriserte uttaket.

Trinn 2: Send inn en lokal politirapport og få saksnummeret (First 24 Hours)¶

Hver gang kontanter blir stjålet via et minibankuttak (i ​​motsetning til et enkelt betalingskort som ikke er tilstede på nett), sjekker bankene rutinemessig om du har sendt inn en politianmeldelse, og minibanker har innebygde CCTV-kameraer på ansiktsnivå som tar et tydelig bilde av personen som sto foran maskinen til nøyaktig tidsstempel for uttaket. 1. Ring din lokale politiavdelings ikke-nødtelefon (eller bruk deres online portal for finansiell kriminalitet) for å sende inn en Identitetstyveri / betalingskort skimming-rapport. 2. Oppgi nøyaktige datoer, klokkeslett, dollarbeløp og minibankterminalplasseringer/-ID-er fra bankappen din, og skriv ned politirapporten/hendelsesnummeret som skal inkluderes i din skriftlige melding til banken din.

Trinn 3: Send en skriftlig Regulation E / Lovfestet tvistmelding (Within 48 Hours to 10 Days)¶

Under amerikansk forskrift E (12 CFR § 1005.11(b)(2)), en bank som tar svindelkravet ditt over telefonen kan lovlig kreve at du sender inn skriftlig bekreftelse innen 10 virkedager, og hvis du ikke sender skriftlig bekreftelse når du blir bedt om det, har banken lovlig lov til å holde tilbake midlertidig kreditt i opptil 45 dager mens brukskontoen din forblir tom. * Følg alltid opp telefonsamtalen din ved å sende inn en skriftlig tvistmelding gjennom bankens sikre nettbaserte meldingssentral (eller via Certified Mail) som sier: 1. Ditt navn og kontonummer; 2. Hver uautorisert transaksjonsdato, selger/minibankplassering og eksakt dollarbeløp; 3. Eksplisitt bekreftelse på at ditt fysiske kort var i din besittelse til enhver tid og at transaksjonene ble utført via et klonet kort (POS Entry Mode 90 / 80); 4. Ditt politirapportnummer; og 5. En forespørsel om foreløpig kreditt innen 10 virkedager under 12 CFR § 1005.11(c) og bevaring av minibankens CCTV-opptak og ISO 8583 POS Entry Mode logger.

Sjekkliste for forebygging: gjør deg selv 100 % immun mot skimmere og skimmere¶

• Bruk Apple Pay, Google Wallet, eller Samsung Wallet (NFC Tap-to-Pay) ved hver bensinpumpe, minibank og butikk som har et kontaktløst symbol: Selv om en bensinpumpe eller minibank er lastet med en ekstern overleggsskimmer, en intern Bluetooth-båndskimmer OG en dypinnsatt EMV-skimmer, alt på samme tid, trykk på telefonen eller se på den kontaktløse NFC pad omgår det fysiske sporet fullstendig og sender et engangs-tokenisert kryptogram som ikke kan spilles på nytt eller klones.
• Deaktiver "Internasjonale transaksjoner" og sett en lav "daglig minibankuttaksgrense" (e.g., $100 or $0) i bankappen din: Mange skimminggjenger høster kort i USA, Storbritannia eller Europa og sender Track 2-dumpene elektronisk til medskyldige i land som ikke har håndhevet EMV-brikke-bare minibanksamsvar. Ved å holde internasjonal bruk og kontanttilgang til minibank skrudd AV i bankappen din (inntil de 2 minuttene du faktisk trenger å bruke en minibank), blokkeres klonede uttak automatisk.
• Slå på sanntids push-varsler for hver transaksjon $0.01: Konfigurer bank- og kredittkortappene dine for å sende en umiddelbar push-varsling den andre forhåndsgodkjenningen ($1.00 gasspumpetest) forekommer.
• Bruk aldri frittstående minibanker utenom banker med høye avgifter i svakt opplyste nærbutikker, barer eller turistfortau: Hvis du trenger kontanter, bruk en minibank som er plassert inne i den låste lobbyen eller godt opplyste innvendige vestibyle til en større bankfilial, hvor bank-klasse anti-skimming jitter spor og elektromagnetisk jammende overvåkingskanter.

Ofte stilte spørsmål¶

Trenger jeg å kjøpe en spesiell "RFID-blokkeringslommebok" eller metallomslag for å hindre tyver i å skumme kortene mine mens jeg går nedover gaten?¶

Ingen; føderale og bankers cybersikkerhetsbyråer (inkludert UK National Cyber ​​Security Center og forbrukerbeskyttelsesorganer) understreker at trådløs street-walk "RFID-skimming" i stor grad er en markedsføringsmyte sammenlignet med fysiske terminalskimmere og online datainnbrudd. Moderne kontaktløse betalingskort bruker ikke passive statiske RFID-strekkoder; de bruker `ISO/IEC 14443` EMV kontaktløs protokoll, som krever en aktiv drevet terminal innen 2 til 4 centimeter (0,8 til 1,6 tommer) og sender ut en engangs dynamisk kryptografisk kode uten kortinnehaverens navn, faktureringsadresse eller 3-sifret trykt CVV2-sikkerhetskode. Du kan ikke lage en klon med magnetstripe fra en kontaktløs kran. Din innsats er langt bedre brukt ved å bruke Apple Pay eller Google Wallet ved bensinpumper og dekke til hånden når du skriver inn PIN-koden.

Hvordan kan noen klone EMV-brikkekortet mitt ved en bensinpumpe eller minibank hvis EMV-brikker skal være umulig å klone?¶

Mens mikroprosessoren inne i EMV-brikkekortet ikke kan dupliseres til et andre fungerende brikkekort, krever EMV-spesifikasjonen at brikken lagrer og overfører en bakoverkompatibel kopi av magnetstripedataene dine (`Tag 57: Track 2 Equivalent Data`) under hver chiptransaksjon. Når et ultratynt **EMV-skimmer** inne i et kortspor registrerer det `Tag 57` stream (eller når en intern bensinpumpe-skimmer leser magnetstripen din mens du skyver kortet inn), skriver kriminelle disse dataene på et tomt magnetstripekort. Selv om et skikkelig banksystem burde avvise den magnetiske klonen fordi brikken er `iCVV` dynamisk verifikasjonsverdi avviker fra magnetstripenes `CVV1`, dårlig konfigurerte minibanker eller selgere som fortsatt tillater tilbakefall med magnetstriper godtar det klonede sveipet og tømmer kontoen din.

Hvis jeg trekker i en bensinpumpekortleser og en falsk plastskimmer faller av i hånden min, hva skal jeg gjøre?¶

Se deg først rundt for din personlige sikkerhet: skummemannskaper parkerer ofte innenfor 15 til 30 meter (50 til 100 fot) fra pumpen for å laste ned stjålne kortdata over Bluetooth eller se på maskinvaren deres. Ikke konfronter noen, og unngå å håndtere det indre kretskortet med bare fingrene, slik at politi kan fjerne latente fingeravtrykk eller DNA fra den dobbeltsidige tapen og loddeforbindelsene. Gå tilbake inn i kjøretøyet ditt eller gå inn på stasjonen, ring lokalt politi (`911` / `112` / `999` eller den lokale avdelingen) for å rapportere at du finner en aktiv betalingskortskimmer på Pump #X, og hvis du allerede satte inn kortet ditt før du oppdaget det, fryser du kortet i bankappen din umiddelbart.

Banken min sier at de ikke vil refundere et falskt minibankuttak på USD 600 fordi min 4-sifrede PIN-kode ble brukt. Er det lovlig?¶

Nei. I henhold til United States Electronic Fund Transfer Act (`Regulation E`, `12 CFR § 1005.6`), UK Payment Services Regulations og EU PSD2, bare det faktum at en tyv fanget og skrev inn den 4-sifrede PIN-koden din (via et pinhole-kamera eller tastaturoverlegg) gjør **ikke** transaksjonen autorisert, og det utgjør heller ikke kundeansvar da kortet ditt ble skummet. I henhold til US Regulation E-kommentarer og CFPB-håndhevelsesveiledning, ligger bevisbyrden strengt på finansinstitusjonen (`15 U.S.C. § 1693g(b)`). Eskaler tvisten din skriftlig, send inn en politianmeldelse og send inn en formell klage til Consumer Financial Protection Bureau (`consumerfinance.gov`) eller din nasjonale bankombudsmann som krever det rå `POS Entry Mode` (`05` vs `90`/`80`) og ATM-kameralogger.

Relaterte guider¶

• Bankkontobrudd og gjenoppretting av uautorisert bank-/ACH-overføring
• QR-kode-phishing ("quishing"), parkeringsmålerdekaler og ondsinnede omdirigeringer
• Offentlig Wi-Fi, Evil Twin-hotspots og USB-juice-jacking-forsvar
• Svar på identitetstyveri og kredittbyrå fryser
• Globale nødnumre

Kilder sjekket¶

• Federal Bureau of Investigation (FBI) og United States Secret Service (USSS) (USA): National Cyber Investigative Joint Task Force-varsler om betalingskortskimming, dypinnsatt EMV-skimmer og Bluetooth-skimmere for drivstoffdispenser.
• Consumer Financial Protection Bureau (CFPB) (USA): lov om elektronisk overføring av midler (Regulation E, 12 CFR Part 1005.6 og 1005.11 Offisielle tolkninger om klonet kortansvar og foreløpige kredittkrav).
• EMVCo (internasjonalt): EMV integrerte kretskortspesifikasjoner for betalingssystemer (Tag 57 Spor 2 Ekvivalente data, dynamisk iCVV Verifisering og kontaktløs tokenisering).
• PCI Security Standards Council (PCI SSC) (internasjonalt): Skimming Prevention: Oversikt over beste praksis for selgere og terminalinspeksjon.
• UK Finance & Financial Conduct Authority (FCA) (Storbritannia): Payment Services Regulations (PSR) Refusjonsrettigheter for uautoriserte transaksjoner og veiledning mot skimming av minibanker.