„Halten Sie es fest und wackeln Sie es“ – das Abschöpfen von Geldautomatenkarten ist immer noch eine Sache

„Halten Sie es fest und wackeln Sie es“ – das Abschöpfen von Geldautomatenkarten ist immer noch eine Sache

Zeitstempel: 14. August 2023 7:18
Quellknoten: 2824758
by Paul Ducklin

Es ist schon eine Weile her, dass wir über Card-Skimmer geschrieben haben, die früher eine große Rolle bei der weltweiten Cyberkriminalität spielten.

Heutzutage drehen sich viele, wenn nicht die meisten Geschichten über Cyberverstöße und Cyberkriminalität um Ransomware, das Darkweb und die Cloud oder eine unheilige Kombination aus diesen dreien.

Bei Ransomware-Angriffen müssen sich die Kriminellen nicht persönlich zum Tatort begeben, und ihre Gewinne werden online abgezogen, typischerweise mithilfe pseudoanonymer Technologien wie dem Darkweb und Kryptocoins.

Und bei einigen Cloud-basierten Cyberkriminalität, insbesondere solchen, die allgemein als „ Supply-Chain-Angriffe, müssen die Kriminellen überhaupt nicht auf Ihr Netzwerk zugreifen.

Wenn sie einen Dritten finden, zu dem Sie regelmäßig wertvolle Daten hochladen oder von dem Sie regelmäßig vertrauenswürdige Software herunterladen, können sie sich stattdessen an diesen Dritten wenden und dort den Schaden anrichten.

Bei jüngsten Cyber-Erpressungsangriffen wurden Dutzende großer Marken wegen gestohlener Mitarbeiter- und Kundendaten erpresst, obwohl diese Daten indirekt gestohlen wurden.

Im MOVEit-AngriffeBeispielsweise wurden die Daten von Dienstleistern wie Lohn- und Gehaltsabrechnungsunternehmen gestohlen, die fehlerhafte Dateiübertragungssoftware verwendet hatten, um vermeintlich sichere Uploads von ihren eigenen Kunden zu akzeptieren.

Ohne dass die Unternehmen, die letztendlich erpresst wurden, und die von ihnen genutzten Lohn- und Gehaltsabrechnungsdienste wussten, ermöglichte die MOVEIt-Dateiübertragungssoftware Betrügern auch das unbefugte Herunterladen gespeicherter Daten.

Offensichtliche Cyberkriminalität

Im Gegensatz dazu ist Kreditkarten-Skimming ein weitaus offensichtlicheres Verbrechen, sowohl für die Täter als auch für die Opfer.

Kartenskimmer zielen darauf ab, die für Ihre Bankkarte wichtigen privaten Informationen genau in dem Moment zu erbeuten, in dem Sie die Karte verwenden.

Es ist bekannt, dass Karten-Skimmer nicht nur auf die auf der Karte selbst gespeicherten Daten losgehen, sondern auch auf die PIN, die als zweiter Authentifizierungsfaktor dient.

Unabhängig davon, ob Ihre Karte einen leicht zu klonenden Magnetstreifen oder einen sicheren Chip, der nicht geklont werden kann, oder beides hat, wird Ihre PIN niemals auf oder in der eigentlichen Karte gespeichert.

Skimming-Kriminelle nutzen daher in der Regel versteckte Miniaturkameras, um Ihre PIN live auszuspionieren, während Sie sie eingeben.

Ironischerweise sind Bankautomaten, besser bekannt als Geldautomaten, vielleicht der perfekte Standort für Geräte zum Kartenscannen.

Geldautomaten greifen Ihre Karte fast immer mechanisch und ziehen sie direkt in den Automaten, außer Sicht- und Reichweite.

(Anscheinend hat das zwei Hauptgründe: Erstens, weil dieser Prozess dazu neigt, alle auf die Karte gelöteten Kabel abzuschneiden, die sie während des Gebrauchs mit der Außenwelt verbinden könnten, und zweitens, weil es der Bank ermöglicht, die Karte zu beschlagnahmen wenn es denkt, dass es gestohlen worden sein könnte.)

Mit anderen Worten: Das Anbringen eines gefälschten Magnetstreifenlesegeräts an einem Geldautomaten ist im Allgemeinen effektiver, als das Gleiche an einem beliebigen Tap-to-Pay- oder Chip-and-PIN-Terminal zu tun, bei dem der vollständige Magnetstreifen niemals in das Lesegerät oder über dieses gelangt.

Außerdem fragen Geldautomaten immer nach Ihrer PIN und verfügen oft über viele praktische Oberflächenfunktionen, bei denen eine kleine Kamera gut sichtbar versteckt werden kann.

Wenn Sicherheitsvorkehrungen das Gegenteil bewirken

Ironischerweise sind gut beleuchtete Banklobbys, die eine beruhigende Atmosphäre bieten sollen, manchmal ein besserer Ort für Kartendiebe als schwach beleuchtete Geldautomaten in Seitenstraßen.

In einem Fall, an den wir uns erinnern, wurde die Geldautomaten-Lobby in einem Gebäude in der Innenstadt, das mehrere Banken bediente, mit einer „Sicherheits“-Tür außerhalb der Geschäftszeiten ausgestattet, um den Kunden ein sichereres Gefühl zu geben.

Die Tür sollte verhindern, dass irgendjemand die ganze Nacht zwischen den Geldautomaten herumlungert, denn potenzielle Geldautomatenbenutzer mussten am Eingang eine Bankkarte durchziehen, um ersten Zugang zu erhalten.

Anstatt die Sicherheit zu verbessern, machte dies die Sache jedoch noch schlimmer, da die Betrüger einfach einen versteckten Kartenleser an der Tür selbst anbrachten und so die Daten von den Karten aller Banken stiehlten, bevor irgendwelche Kunden die eigentlichen Geldautomaten erreichten.

Darüber hinaus konnten die Betrüger mithilfe einer versteckten Kamera in der Lobby, anstatt sie an einem bestimmten Geldautomaten festzukleben, nach den PINs der Benutzer Ausschau halten.

Wie bei den oben erwähnten MOVEit-Angriffen, bei denen Unternehmen ihre Trophäendaten gestohlen wurden, ohne dass überhaupt auf ihre eigenen Computer zugegriffen wurde, erbeuteten diese Betrüger Geldautomatenkartendaten und passende PINs für mehrere verschiedene Banken, ohne einen einzigen Geldautomaten physisch zu berühren.

In einem anderen uns bekannten Fall haben die Betrüger heimlich PINs an einem Geldautomaten auf dem Gelände einer Bank gefilmt, indem sie ihre Überwachungskamera nicht am Geldautomaten selbst platziert haben, dessen Mitarbeiter geschult wurden, ihn regelmäßig zu überprüfen, sondern an der Unterseite eines Firmenbroschürenhalters Wand neben dem Geldautomaten.

Es schien, als hätten die Mitarbeiter den Kriminellen unabsichtlich geholfen, indem sie den Broschürenhalter jedes Mal, wenn das Marketingmaterial zur Neige ging, pflichtbewusst nachfüllten und so das versteckte Fach unten, in dem die Spionagekamera-Hardware untergebracht war, buchstäblich abdeckten.

Skimmer sind immer noch im Geschäft

Nun, das Skimming von Geldautomaten ist immer noch eine weit verbreitete Cyberkriminalität über das Wochenende berichtet von der Polizei von Brisbane in Queensland, Australien, wo kürzlich drei Männer wegen einer Reihe von Straftaten im Zusammenhang mit Skimming festgenommen wurden.

Die Büste scheint etwa so abgestürzt zu sein:

  • 2023: Skimming-Geräte in einem abgefangenen Postpaket gefunden. Es sieht so aus, als ob das Paket an eine nicht existierende Person adressiert war, was den Bewohnern der Zustelladresse vermutlich eine plausible Abstreitbarkeit gibt, wenn sie bei der Ankunft des Pakets durchsucht würden.
  • 2023: Eine örtliche Bank meldet der Polizei einen kompromittierten Geldautomaten. Wie oben erwähnt, durchsuchen Finanzinstitute ihre Geldautomaten regelmäßig auf Anzeichen von Manipulation oder angeklebten Teilen. Skimming-Geräte werden in der Regel auf Bestellung gefertigt, in der Regel 3D-geformt aus Kunststoff, damit sie eng an bestimmte Geldautomatenmodelle passen, und mit allen Wörtern, Symbolen oder Markenzeichen versehen, die zu dem Geldautomaten passen, an dem sie angebracht werden sollen.
  • 2023: Bewachende Ermittler der Cyberkriminalität bemerkten zwei Männer, die sich dem kompromittierten Geldautomaten näherten. Wir gehen davon aus, dass die Bank den kompromittierten Geldautomaten bewusst außer Betrieb genommen hat und damit nicht nur verhindert hat, dass Kunden aktiv abgeschöpft werden, sondern den Gaunern auch suggeriert, dass sie, wenn sie den Skimmer zurückholen wollen, schnell handeln sollten, bevor der Geldautomat aufgesucht wird zur „Reparatur“ und das Gerät wurde gefunden und beschlagnahmt.

Nach einer kurzen, aber schnellen Verfolgungsjagd durch Brisbanes beliebte Queen Street Mall wurden die flüchtenden Verdächtigen festgenommen und festgenommen.

Mit einem Durchsuchungsbefehl für die Lieferadresse auf dem abgefangenen Paket statteten die Polizisten nun einen Besuch ab und behaupteten, sie hätten es gefunden „zwei Lochkameras und mehrere gefälschte Ausweisgegenstände, darunter Bankkarten sowie Bilder eines Führerscheins und eines Reisepasses.“

Nach Angaben der Polizei waren die Kameras in Teilen von Geldautomaten mit Banklogo versteckt.

Außerdem stimmte nach Angaben der Polizei einer der bei der Razzia sichergestellten gefälschten Ausweise zufällig mit dem Namen auf dem abgefangenen Paket mit Skimming-Geräten überein.

Damals wurde der dritte Verdächtige festgenommen.

Was ist zu tun?

Um eine Vorstellung davon zu bekommen, worauf Sie bei verdächtigen Geldautomaten achten sollten, schauen Sie sich ausgewählte Videoaufnahmen von der Razzia an gepostet von der Polizei von Queensland?

Die Skimming-Hardware-Komponenten erscheinen am Ende, nach einigen Bodycam-Aufnahmen von den Verdächtigen, die bei der Verfolgungsjagd überholt und geschnappt werden, komplett mit dem Geräusch geschlossener Handschellen:

Die Polizei hat zur Veranschaulichung des Maßstabs keine bekannten Gegenstände in die Gleittafeln gelegt, aber wir vermuten, dass Sie die blauen Plastiktafeln sehen werden, in deren Inneren sich etwas versteckt, das wie ein handelsübliches eingebettetes Objekt aussieht System-on-Chip-Motherboards sind so konzipiert, dass sie neben dem Steckplatz sitzen, in den Sie Ihre Geldautomatenkarte einführen.

Wir vermuten, dass das zweifarbige Blau zum eigenen Farbschema der Bank passt, wobei der gelbe Pfeil auf den Kartenschlitz zeigt.

Wie oben erwähnt, werden Skimming-Geräte häufig speziell angefertigt, um sie an das aktuelle Branding der Bank und der Geldautomaten anzupassen, auf die es die Betrüger abgesehen haben. Dadurch sind sie schwerer zu erkennen als einige der generischen beigefarbenen Panels, die wir gesehen haben in der Vergangenheit, wie dieser von a Razzia der Polizei von Queensland zurück in 2012:

Der rote Pfeil zeigt auf ein Guckloch in der gefälschten Slot-Einfassung.

Oder Rat ist:

  • Scheuen Sie sich nicht, die Hardware Ihres Geldautomaten und Ihre Umgebung genau zu untersuchen. Richten Sie Ihren Blick direkt an die Oberfläche, wenn Sie nicht sicher sind, ob ein bestimmtes Teil wirklich dazugehört.
  • Decken Sie die Tastatur bei der PIN-Eingabe immer vollständig ab. Tun Sie dies auch dann, wenn Sie sich in einer Bank befinden und scheinbar niemand sonst in der Nähe ist.
  • Halten Sie es fest und wackeln Sie, wenn Sie sich nicht sicher sind. Achten Sie auf Teile, die nicht ganz richtig passen, nicht zum Originaldesign passen oder offensichtlich nicht Teil der Originalkonstruktion des Geldautomaten sind.
  • Wenn du etwas siehst, dann sage etwas. Geben Sie nicht Ihre PIN ein. Holen Sie Ihre Karte zurück, gehen Sie ruhig weg und wenden Sie sich an die örtliche Polizei oder rufen Sie die betreffende Bank an. Verwenden Sie eine Nummer von Ihrer Karte oder einer früheren Abrechnung oder im schlimmsten Fall eine Kontaktnummer, die auf dem Bildschirm des Geldautomaten angezeigt wird. Rufen Sie keine Nummern an, die am Geldautomaten angebracht oder daneben angebracht sind, da die Betrüger sie möglicherweise selbst dort hinterlegt haben könnten.

Schauen Sie wie immer erst, bevor Sie springen.

Zeitstempel:

Mehr von Nackte Sicherheit