Cartão de pagamento holandês atualizado ainda vulnerável ao ataque de retransmissão

Os novos recursos de segurança que estão sendo implementados nos cartões de pagamento holandeses não deterão um tipo de ataque que os fraudadores poderiam usar no futuro para roubar dinheiro de contas bancárias, segundo pesquisadores da Universidade de Cambridge. no Reino Unido

Steven J. Murdoch e Saar Drimer, do Computer Group de Cambridge, demonstraram na quarta-feira no programa de televisão holandês "Goudzoekers" que um cartão de pagamento com novos recursos de segurança ainda é vulnerável ao chamado ataque de revezamento. Um ataque de revezamento é uma maneira em que fraudadores usam a tecnologia sem fio para obter os detalhes do cartão bancário e PIN (Número de Identificação Pessoal) para cartões de pagamento com chip e PIN usados ​​em toda a Europa. Cartões com chip e PIN exigiam que uma pessoa inserisse um PIN de quatro dígitos em dispositivos de ponto de venda ou caixas eletrônicos, com o PIN autenticado por um microchip embutido no cartão.

[Outras leituras: Como remover malware do seu PC Windows]

No ataque de revezamento, os detalhes do cartão da vítima são registrados através de um terminal de pagamento adulterado. O número PIN é observado por um fraudador e depois comunicado a um cúmplice que realiza uma transação simultânea em outro lugar. O cúmplice tem um cartão de pagamento falso, sem fio, que usa os dados bancários da vítima recebidos do terminal de pagamento adulterado para fazer uma transação fraudulenta.

O ataque de revezamento foi demonstrado por Drimer e Murdoch em 2007, mas não se acredita usado ativamente por criminosos, já que há maneiras mais fáceis de comprometer os cartões de pagamento, disse Murdoch.

Os bancos no Reino Unido e na Holanda têm planos de atualizar os cartões de pagamento com novos recursos de segurança para impedir diferentes tipos de ataques. Murdoch e Drimer testaram um cartão emitido por um banco holandês que possui três novos recursos

Um é a autenticação de dados dinâmica, que permite que um cartão seja verificado como genuíno sem precisar se conectar aos sistemas do banco. Isso evita o chamado ataque "sim", em que qualquer PIN será aceito para uma transação. Outro recurso garante que o PIN do cliente seja criptografado durante a comunicação entre um terminal de pagamento e o cartão, impedindo a interceptação de um PIN de texto simples.

O último novo recurso é chamado iCVV. Os cartões com chip e PIN continham anteriormente uma cópia das informações da tarja magnética, que contém detalhes da conta dentro do microchip do cartão. Com o iCVV, a informação completa da tarja magnética não é mais armazenada dentro do chip, disse Murdoch.

Nenhuma das três características interrompeu um ataque de revezamento, como demonstrado no programa, disse Murdoch. No entanto, nenhum deles foi projetado especificamente para parar um ataque de revezamento, disse ele. Os produtores de "Goudzoekers" queriam ver se as novas cartas ainda estavam vulneráveis ​​ao ataque de revezamento, disse Murdoch. O show pagou apenas os vôos dele e de Drimer para a Holanda para fazer o experimento, disse Murdoch.

Murdoch, que fez uma extensa pesquisa sobre a segurança dos cartões com chip e PIN, disse que ele e Drimer não acharam novos recursos impediriam um ataque de retransmissão. No entanto, eles aceitaram a comissão da série para obter "mais experiência em sistemas de outros países", disse ele. A Associação Bancária Holandesa rejeitou o experimento mais recente, dizendo em um comunicado que o ataque de revezamento tem quase três anos e é muito complicado e complexo para ser implementado em larga escala.

Murdoch admite que os ataques de revezamento são difíceis de realizar. Mas, como outras vias de ataque mais fáceis são fechadas devido a recursos de segurança mais fortes, é provável que os criminosos "comecem a investigar isso", disse ele. A associação bancária argumenta que "os criminosos são burros demais e preguiçosos". ", Murdoch disse. "Criminosos são preguiçosos, mas não são idiotas".