每日安全资讯:【BlackHat 2016议题】如何通过盗取EMV卡的数据,让ATM机吐出5万美元

两名研究人员在2016美国黒帽大会上(Black Hat USA 2016 )推出了一种新的信用卡中间人攻击,能够在POS或ATM上拦截信用卡信息甚至PIN(个人信息认证密码)和CVV码(后三码)。20160813

这两名来自NCR公司的研究人员(Nir Valtman和Patrick Watson)现场展示了他们的研究成果,让一台ATM机15分钟内吐出了50000美金。

他们曾告诫生产EMV卡芯片的厂商必须给添加额外的保护层防止芯片密码像之前的磁条卡一样容易被克隆。但是没有产商理会他们的建议。

攻击同时建立在硬件和软件之上

在两名研究员的演示中需要用到一个叫Shimmer的工具,是在ATM上完成中间人攻击的硬件担当。犯罪者在ATM机的读卡器上安装这块名为Shimmer的小玩意,当“受害者”把信用卡插进ATM机,ATM机读卡的同时,Shimmer会将截获的数据实时传输给犯罪者,获取的信息包括卡号,持卡人姓名,芯片密码和PIN。随后犯罪者就能用智能手机下载偷到的数据,伪造一个受害者的信用卡,就能到ATM上去取钱了。

据Tod Beardsley(Rapid7的安全研究经理)向BBC电视透露:

Shimmer是一种扫描EMV卡(Europay、MasterCard和Visa)的设备,能够轻易地从取款器外部安装,不需要拆开ATM机。

研究人员介绍说:

由于Shimmer位置隐蔽,很有可能在被害者合法交易的过程中再次截获到用户的PIN甚至是CVV(信用卡的安全码)

不幸中的万幸,EMV卡所启用的交易数据是动态的,这意味着犯罪者必须在一段很短的时间内完成取款(例如一分钟)。

希望厂商这次能够重视EMV的芯片问题。

下载完整PDF报告请访问文章出处。

来源:Freebuf
作者:bimeover
原文链接:http://www.freebuf.com/news/111412.html

更多资讯

  1. 假冒保险骗走车主2万车主怀疑平安保险泄露信息
  2. 快递公司2元/条贱卖 14000余条个人信息被泄漏
  3. 大众遥控钥匙存漏洞 1亿汽车可被解锁
  4. 专家7分钟黑掉一台投票机美国大选计票漏洞百出
  5. TCP协议曝出信道漏洞可远程劫持会话

(信息来源于网络,安华金和搜集整理)

 

最后编辑于:2016/8/13作者: 安华金和

安华金和

安华金和专注于数据库安全领域,由长期致力于数据库内核研发和信息安全领域的专业资深人员共同创造,是国内领先的,提供全面的数据库安全产品、服务和解决方案服务商,覆盖数据库安全防护的事前检查、事中控制和事后审核,帮助用户全面实现数据库安全防护和安全合规。