چگونه یک گروه کلاهبرداران توانستند فناوری پیشرفته‌‌ی EMV را در کارت‌های اعتباری شکست دهند؟

چهار سال پیش، تعدادی کارت اعتباری که با فناوری Chip-and-pin‌ ساخته شده‌ بوندد، در فرانسه به سرقت رفتند. در ماه مه ۲۰۱۱، یک گروه بانکی متوجه شدند این کارت‌های دزدیده‌ شده از بلژیک سر در آورده‌اند. این اتفاق ممکن نبود مگر این‌که صاحبان کارت پین‌های کارت‌هایشان را فاش کرده باشند.

پلیس توانست شماره‌های بین‌المللی تلفن همراه را در مکان‌ها و زمان‌هایی که از آن‌ها استفاده شده بود استخراج کند. آن‌ها این شماره‌ها را با سیم کارت‌های مرتبط ساختند.

با استفاده از این اطلاعات، پلیس موفق شد زنی ۲۵ ساله را دستگیر کند . پس از دستگیری این زن، ۴ عضو دیگر این گروه کلاهبرداری نیز شناسایی و دستگیر شدند. یکی از آن‌ها مهندسی بود که توانسته بود به کارت‌ها نفوذ کند. گروهی از محققان فرانسوی بر این باورند که این اتفاق پیشرفته‌ترین نوع کلاهبرداری از کارت‌های هوشمند است.

در جریان این دستگیری، ۲۵ کارت دزدیده شده، به همراه ۵ هزار دلار پول نقد کشف شد. پلیس می‌گوید در جریان این کلاهبرداری‌ها، بالغ بر ۶۰۰ هزار دلار از طریق ۷ هزار تراکنش در ۴۰ کارت به سرقت رفته‌ است.

از آن‌جایی که ایالات متحده نیز در نهایت تصمیم به جایگزینی این کارت‌های EMV به جای کارت‌های مغناطیسی گرفته ‌است، شرکت‌های علاقه‌مند می‌خواهند بدانند چگونه نفوذگران این کار را انجام داده‌اند. درحالی که گمان می‌شود کارت‌های هوشمند به نسبت کارت‌های مغناطیسی که در آمریکا استفاده می‌شود در برابر کلاهبرداری مقاوم‌ترند، اما این اتفاق نشان می‌دهد آن‌ها غیر قابل نفوذ نیستند.

emv-vs-magnetic

بیش‌تر بانک‌ها در ایالات متحده برای تایید تراکنش فقط یک امضاء را به جای استفاده از پین کافی می‌دانند. واضح است که جعل امضا راحت‌تر است، اما کلاهبرداری که در فرانسه و بلژیک نیز رخ داده ‌است، نشان داده است خرابکاری در مورد این پین‌ها نیز ممکن است. اگرچه EMVco، شرکتی که استانداردهای مرتبط با این موضوع را در دست دارد می‌گوید اشکالاتی که موجب این نفوذ شده‌اند برطرف گشته‌اند.
محققان فرانسوی سعی کرده‌اند بفهمند چرا این نفوذ رخ داده است. از آن‌جایی که کارت‌های دزدیده شده هنوز مدرک به شمار می‌روند، محققان نمی‌توانستند عملیاتی را روی آن‌ها انجام دهند که منجر به جایگزینی داده‌های آن‌ها شود. در عوض آن‌ها از پویش‌های اشعه ایکس برای برای بررسی تراشه‌های کارت استفاده کردند. آن‌ها هم‌چنین راهی را که تراشه‌ها الکتریسیته را در هنگام استفاده توزیع می‌کنند تحلیل کرده و با استفاده از برنامه‌های فقط – خواندنی بررسی کردند که کارت‌ها چه اطلاعاتی را به پایانه‌های POS‌ ارسال می‌کنند.
بر اساس گزارش محققان کلاهبرداران توانسته‌اند حمله ی مرد میانی را با استفاده از برنامه‌ریزی یک تراشه دوم با نام کارت FUN ترتیب بدهند که هر نوع ورودی پین را می‌پذیرد. آن‌ها این تراشه را به تراشه اصلی کارت لحیم کرده‌ بودند.این اتفاق موجب شده‌بود قطر تراشه از ۴/۰ میلیمتر به ۷/۰ میلیمتر برسد. در این حالت کشیدن کارت در دستگاه POS کمی سخت‌تر ولی انجام می‌شده است. محققان روند این کلاهبرداری را با استفاده از این تراشه این‌گونه شرح داده‌اند: «یک تراکنش عادی EMV سه مرحله دارد، تصدیق کارت، تایید صاحب کارت، و تصدیق تراکنش. به هنگام یک انجام تراکنش با یکی از کارت‌های دستکاری شده، تراشه اصلی اجازه دارد به تصدیق کارت به صورت عادی پاسخ دهد. سپس به هنگام تایید صاحب کارت، سیستم POS ‌کاربر می‌خواند پین را وارد کند. سارق با هر پینی پاسخ می‌دهد، و کارت FUN خودش را نشان داده و به POS می‌گوید پین ارسالی اشکالی نداشته و می‌توان تراکنش را انجام داد.»
این اتفاق موجب شد از نظر بانک‌های ایالات متحده اگر استاندارد‌های EMV در برابر کلاهبرداری ضعیف باقی بمانند، دیگر صاحبان کارت‌ها نمی‌توانند بانک‌ها را مجبور نمایند بدهی خود را بابت نفوذهای رخ داده در اثر این مشکلات بپردازند.

منبع: asis

اسکن امنیتی وب سایت
(5000 تومان)

نوع وب سایت: وبلاگ، شرکتی، تجارت الکترونیک و کسب و کارحرفه ای
آسیب پذیری های OWASP (شامل بررسی 10 آسیب پذیری متداول)
اسکن نرم افزار/وب سایت توسط Acunetix نسخه 11
اسکن تمامی پورت ها با ابزار Nmap
اسکن وب سرور و پیکربندی آن توسط ابزار Nikto
اسکن تزریق توسط نرم افزار قدرتمند SQLmap