Новый вид мошенничества с банковскими картами: ПИН-код можно украсть на расстоянии

Ученые из Калифорнийского университета в Сан-Диего исследовали новый способ хищения ПИН-кодов банковских карт — с использованием инфракрасных камер, которые измеряют температуру на панели клавиатуры банкомата.

Подушечки пальцев делают клавиши, которые нажимал клиент, теплее, чем остальные. Температура также позволяет определить и последовательность нажатия — самая "горячая" клавиша нажималась последней.

Используя обратную последовательность, мошенникам удавалось узнать правильный ПИН-код. Правда, если пользователь вводит еще и сумму денег, которые он хотел снять с карточки, то задача злоумышленников усложняется, сообщает SecurityLab.

Эксперты исследовали банкоматы двух типов — один с металлической клавиатурой (Dynasystem 00-101088-008B), а второй с пластиковой (Diebold 19-019062-001M REV1). С металлических кнопок было сложнее считывать температуру клавиш посредством инфракрасной камеры, так как изображение сопровождалось чрезмерным "шумом". Пластиковые кнопки оказались менее проблемными.

ПИН-код удавалось легко похитить человеку, который стоял в очереди к банкомату за человеком, который только что совершил операцию с карточкой. В 80% случаев хакерская попытка была успешной.

В случаях, когда интервал между пользователями банкомата, составляет одну минуту, шанс заполучить ПИН-код доходит до 50%.

Изобретателем персонального идентификационного номера (ПИН) считается шотландский инженер Джеймс Гудфеллоу, который в конце 1960-х годов придумал и запатентовал идею аутентификации предъявителя чека, содержащего информацию, закодированную с помощью специальных меток. Среди этих меток был закодирован ПИН, который и сравнивался с номером, вводимым клиентом на клавиатуре. Пластиковые карты с магнитной полосой появились позже.

ПИН для банковских карт генерируется автоматически одновременно с другой служебной и защитной информацией: номером карты, CVV\CVC-кодами и т. д. Одновременно происходит печать ПИН-конверта, который представляет собой предварительно заклеенную заготовку, состоящую из нескольких слоев самокопирующейся бумаги.

Цифры ПИН-кода печатаются внутри уже закрытого конверта. После печати память компьютера очищается, чтобы исключить возможность утечки конфиденциальных данных. Кроме того, по правилам платежных систем, во время работы в помещении должны находиться не менее двух сотрудников — для взаимного контроля.

В банки карты и конверты с ПИН-кодами доставляются различными рейсами, в отделениях они должны храниться раздельно и "встречаться" лишь при выдаче клиенту.

В последнее время ПИН-код нередко сообщается клиенту по телефону через голосовую интерактивную систему. В ходе процедуры клиент проходит несколько уровней идентификации, после чего автоматизированная система формирует цифровой код. В банках, практикующих такой способ, утверждают, что сотрудники вообще не имеют доступа к секретным номерам.

Банкиры не устают повторять правила безопасности использования банковских карт, особо подчеркивая что хищений денег было бы меньше, если бы держатели карт более внимательно относились к безопасности ПИН-кода.

По оценке экспертов, на использование ПИН-кода приходится примерно 5% случаев мошенничества с картами. Похищенные таким образом средства банки практически никогда не возвращают, считая, что клиент сам виноват в компрометации секретного номера.