메일 보내기

솔루션 검색 데모요청 TOP

RSS Feed 받기

로그인 정보로 피드받기
입력한 이메일로 피드받기

Contents 공유하기

Contents 공유하기

카카오 스토리 공유하기

가입하기

Contents 공유하기

인스타그램 공유하기

가입하기

Contents 공유하기

네이버밴드 공유하기

가입하기

칩 및 PIN 카드 복제 : 브라질 직업

최근 미국은 신용 카드 및 직불 카드의 안전하지 않은 자기 스트라이프를 사용하는 것에서 EMV 표준에 의해 규제되는 칩 및 PIN 카드를보다 잘 보호하는 방법으로 전환했습니다. 이것은 거래의 보안을 높이고 카드 사기를 줄이는 데있어 큰 진전이며, 복제에 의존하는 카드 사기의 종말에 가까울 것으로 생각할 수도 있습니다.

그러나 우리 연구원은 최근 브라질의 한 그룹의 사이버 범죄자가 카드 데이터를 훔쳐 칩 및 PIN 카드를 성공적으로 복제 할 수있는 방법을 개발했다고 발표했습니다. 우리 전문가들은 Security Analyst Summit 2018 에서 연구 결과를 발표했습니다. 여기서는 짧은 게시물에서 복잡한 작업에 대해 설명하려고합니다.

칩이있는 카드는 여전히 취약합니다.

 

 

 

 

 

 

ATM 및 그 이상의 잭팟

우리 연구원은 Prlex라는 브라질 그룹에서 사용하는 ATM 잭팟 팅용 멀웨어를 연구하는 동안 Point-of-Service (POS) 단말기를 감염시키고 카드 데이터를 수집하는 데 사용되는 몇 가지 추가 기능을 사용하여이 악성 코드의 수정 버전을 발견했습니다.

이 맬웨어는 타사가 POS에서 은행으로 전송 한 데이터를 캡처 할 수 있도록 POS 소프트웨어를 수정할 수있었습니다. 이것이 사기꾼들이 카드 데이터를 얻은 방법입니다. 기본적으로 POS 단말기가 감염된 지역 상점에서 결제하면 카드 데이터가 범죄자에게 즉시 전송됩니다.

그러나 카드 데이터를 갖는 것은 전투의 절반에 불과합니다. 돈을 훔치기 위해서도 카드를 복제 할 수 있어야했고, 칩과 다중 인증에 의해 더욱 복잡한 과정이 필요했습니다.

프리렉스 (Prlex) 그룹은 "고객"이 복제 된 카드를 만들 수있는 전체 인프라를 개발했습니다. 이론적으로는 불가능할 것입니다.

이유가 무엇인지 알아 보려면 먼저 EMV 카드의 작동 방식을 간략히 살펴보아야 합니다 . 복제에 관해서는 가능한 한 간단하게 유지하려고 노력할 것입니다.

칩 및 PIN 표준 작동 방식

카드의 칩은 플래시 메모리가 아니라 애플리케이션을 실행할 수있는 작은 컴퓨터입니다. 칩이 POS 단말기에 도입되면 일련의 단계가 시작됩니다.

첫 번째 단계는 초기화 라고합니다 . 단말기는 카드 소유자 이름, 카드 만료 날짜 및 카드가 실행될 수있는 응용 프로그램 목록과 같은 기본 정보를 수신합니다.

두 번째 단계는 데이터 인증 이라는 선택적 단계 입니다. 여기서, 단말기는 카드가 확실한지를 검사하는데, 이는 암호화 알고리즘을 사용하여 카드를 검증하는 것을 포함한다. 여기서 논의해야 할 필요보다 더 복잡합니다.

셋째 카드 소지자 확인 이라는 또 다른 단계가 있습니다 카드 소지자는 PIN 코드 또는 서명 (카드가 프로그래밍 된 방식에 따라 다름)을 제공해야합니다. 이 단계는 카드로 지불하려는 사람이 실제로 카드 발급자와 동일한 사람인지 확인하는 데 사용됩니다.

넷째, 트랜잭션이 발생합니다. 1 단계와 4 단계 만 필수 사항입니다. 즉, 인증 및 확인을 건너 뛸 수 있습니다. 즉, 브라질 사람들이 들어옵니다.

무제한 돌림

따라서 우리는 응용 프로그램을 실행할 수있는 카드를 가지고 있으며, 첫 악수 중에 POS는 사용 가능한 응용 프로그램에 대한 정보를 카드에 요청합니다. 트랜잭션에 필요한 단계의 수와 복잡성은 사용 가능한 응용 프로그램에 따라 다릅니다.

카드 복제자는 카드를 실행할 Java 응용 프로그램을 만들었습니다. 응용 프로그램에는 두 가지 기능이 있습니다. 첫째, POS 단말기에 데이터 인증을 수행 할 필요가 없다는 것을 알려줍니다. 이는 암호화 작업이 없으므로 카드의 개인 암호 키를 얻는 것이 거의 불가능하다는 것을 의미합니다.

그러나 그것은 여전히 ​​PIN 인증을 남깁니다. 그러나 EMV 표준에 PIN이 올바른지 엔티티 확인 ... 카드를 선택할 수있는 옵션이 있습니다. 더 정확하게는 카드에서 실행중인 앱입니다.

귀하는 그 권리를 읽었습니다. 사이버 범죄자의 앱은 PIN이 입력되었는지 여부와 관계없이 PIN이 유효하다고 말할 수 있습니다. 즉, 카드를 휘두르는 사기꾼은 4 개의 임의의 숫자를 입력 할 수 있으며, 항상 허용됩니다.

서비스로서의 카드 사기

Prilex가 만든 인프라에는 위에서 설명한 Java 애플릿과 스마트 카드 (스마트 카드 리더 / 라이터 장치 및 빈 스마트 카드는 저렴하고 합법적으로 구매할 수있는 정보)를 작성하기위한 "다프네 (Daphne)"라는 클라이언트 응용 프로그램이 포함됩니다. 동일한 응용 프로그램이 사용됩니다 카드에서 인출 할 수있는 금액을 확인합니다.

인프라에는 카드 번호와 기타 데이터가 포함 된 데이터베이스도 포함됩니다. 신용 카드가 직불 카드인지 신용 카드인지는 중요하지 않습니다. "Daphne"은 둘 다의 클론을 만들 수 있습니다. 사기꾼들은이를 모두 패키지로 판매하며 주로 브라질의 다른 범죄자들에게 판매합니다. 그들은 복제 된 카드를 만들고 사용합니다.

결론

에 따르면 Aite의 2016 글로벌 소비자 카드 사기 보고서 , 모든 사용자가 손상되었다고 가정하는 것이 안전합니다. 마그네틱 스트라이프가있는 카드를 사용하든 더 안전한 칩 및 PIN 카드를 사용하든 관계 없습니다. 카드가 있으면 정보가 도난당한 것일 수 있습니다.

범죄자들이 실제로 카드를 복제하는 방법을 개발 했으므로 심각한 재정적 인 위협이되기 시작합니다. 카드 사기로 상당한 금액을 잃지 않으려면 다음을 수행하는 것이 좋습니다.

  • 모바일 푸시 또는 SMS 알림을 사용하여 카드의 거래 내역을 확인하십시오. 의심스러운 지출을 발견하면 즉시 은행에 전화하여 카드를 즉시 차단하십시오.
  • 가능한 경우 AndroidPay 또는 ApplePay를 사용하십시오. 이 방법은 카드 데이터를 POS에 공개하지 않습니다. 그래서 POS에 카드를 삽입하는 것보다 안전하다고 생각할 수 있습니다.
  • 이 카드는 오프라인 상점에서만 사용하는 카드보다 더 손상 될 가능성이 있기 때문에 인터넷 지불에 별도의 카드를 사용하십시오. 그 카드에 많은 액수의 돈을 보관하지 마십시오.

추천 컨텐츠