Na Black Hat 2016, os pesquisadores nos disseram que os novos cartões são inseguros.

Os novos cartões com chip e PIN (um padrão EMV ) prometiam maior segurança do que simples cartões de tarja magnética, mas assim que foram implantados, os criminosos tentaram quebrar sua proteção. Felizmente, os criminosos não são os únicos a testá-los; especialistas em segurança também investigam os sistemas. Os pesquisadores da empresa investigam vulnerabilidades no equipamento e na arquitetura dos sistemas de pagamento, tentando localizá-los e alertar os desenvolvedores para que eles possam consertar buracos antes que os criminosos encontrem uma entrada.

A apresentação do chapéu preto dos pesquisadores ofereceu motivo para esperança e ansiedade: Sim, os criminosos podem roubar dinheiro de cartões com chip - mas as pessoas não são incapazes de se proteger. Dois funcionários da NCR Corp., empresa que desenvolve terminais de pagamento e caixas eletrônicos, apresentaram um ataque a terminais de pagamento comumente usados ​​em lojas e postos de gasolina. Usando o pequeno e barato computador Raspberry Pi, eles se inseriram na comunicação entre o computador principal da loja (a grosso modo, a caixa registradora) e o módulo de pagamento (grosso modo, o PIN pad).

[Mergulhe fundo no mundo da tecnologia e cadastre-se no Avance Network a verdadeira comunidade criptografada!]

Em geral, a comunicação entre esses dois sistemas deve ser criptografada adequadamente, mas em muitos casos, o terminal está configurado para usar criptografia fraca. Como resultado, os criminosos podem realizar ataques man-in-the-middle : eles interceptam dados de comunicação entre o módulo de pagamento e o computador principal e os descriptografam.

Na verdade, o ataque não extrai dados pela segurança básica de um cartão com chip; certos dados, como o código PIN, são criptografados no chip e nunca transmitidos abertamente. No entanto, o invasor pode obter outras informações do chip - dados normalmente gravados na tarja magnética.

Desta forma, os criminosos podem descobrir o nome do proprietário e o número do cartão e usar esses dados para fazer pagamentos online com a ajuda do cartão da vítima. É claro que, nesse caso, os criminosos também precisam do código CVV2 ou CVC2 do verso do cartão - que geralmente é mantido em segredo durante a transmissão de dados. Mas os criminosos podem tentar enganar os portadores de cartão para que forneçam as informações.

Além de solicitações padrão como “Insira o cartão” e “Insira o PIN”, os terminais de pagamento podem mostrar uma série de outras notificações - uma nova solicitação, por exemplo, como “Insira seu CVV2 (ou CVC2)”.

Aqui está outra abordagem interessante: um criminoso pode adicionar algo como “Erro, digite o PIN novamente” - mas desta vez o terminal pensaria que está pedindo informações abertas, não seguras. Se esse truque funcionar, o terminal envia dados seguros como inseguros e os criminosos obtêm os PINs das vítimas.

Os pesquisadores têm duas dicas simples para portadores de cartão que desejam ficar seguros. Primeiro, você nunca deve inserir seu PIN duas vezes em uma transação. Se você vir um erro e receber uma solicitação para inserir seu PIN novamente, cancele a transação, retire o cartão, insira-o novamente e insira seu PIN mais uma vez (e apenas uma vez). Você também deve estar atento e ignorar quaisquer perguntas incomuns feitas pelo terminal de pagamento - especialmente se for “Qual é o seu CVC2 / CVV2?”

A segunda dica não é aplicável em todos os países, mas é interessante. Os especialistas da NCR têm uma grande opinião sobre a segurança dos sistemas de pagamento móvel (como Apple Pay), então pagar com seu relógio ou telefone pode ser mais seguro do que usar cartão de crédito.

Obviamente, usar o bom e velho dinheiro é a melhor proteção de todas contra fraudes bancárias e de cartão de crédito.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.