¿Qué información capturó este "skimmer" del chip EMV?

El propio artículo aborda esto:

  

Los bancos pueden realizar una simple comprobación para ver si alguna tarjeta insertada en un cajero automático es una tarjeta de banda magnética falsificada que está codificada con datos robados de una tarjeta chip. Pero puede haber algunos casos en los que los bancos realicen esta comprobación incorrectamente o no hagan nada durante algunos períodos, y los expertos dicen que los ladrones han descubierto qué cajeros automáticos aceptarán tarjetas de banda magnética que se clonan a partir de tarjetas con chip.

     

"Esto me sugiere que los ladrones planean dirigirse a un emisor en el que saben que no se va a verificar el CVV", dijo Charlie Harrow, gerente de soluciones para seguridad global de NCR, un fabricante de cajeros automáticos.

Supongo que están capturando específicamente la etiqueta 57 (datos equivalentes de la Pista 2) . Como dice el artículo, estos no son los mismos datos que están codificados en la banda magnética, pero sí tienen el mismo número de cuenta. Si se las han arreglado para averiguar cuándo un cajero automático está operando en modo fuera de línea (donde no verifica de inmediato con el banco), esta información es lo suficientemente buena como para realizar un retiro, aunque se detectará tan pronto como el cajero automático vaya vuelve a estar en línea y lo informa.

Es muy similar al dispositivo "man in the middle". Probablemente intentaron copiar datos de la tarjeta antigua SDA o confiar en algunos errores del banco que conocían. Por otro lado, es posible un "ataque previo al juego" más complejo.

enlace

Uno de los métodos de verificación admitidos por las tarjetas de chip es "Desconectado con PIN", en el que el PIN se transmite a la tarjeta, posiblemente en texto sin formato. Por lo tanto, un skimmer como este no solo puede leer los datos del titular de la tarjeta desde el chip, sino que también puede interceptar el PIN en esa situación particular.

Estos son datos suficientes para codificar una nueva tarjeta magstripe sin la banda magnética CCV, y por alguna razón, algunos emisores no verifican este CCV. Una vez que haya capturado el PIN del usuario, puede usar esta nueva tarjeta y el PIN del usuario en un terminal que no admite la autenticación de chip y que no comprueba la banda magnética CCV.

¿Cuál es el punto? Con las tarjetas de banda magnética más antiguas, el PIN nunca se transmite a la tarjeta, por lo tanto, para el skimmer del PIN de un usuario se requiere un skimmer de banda magnética, además de una cámara oculta para ver a los usuarios ingresar sus números de PIN. En realidad, esto parece ser una forma más fácil de hojear los números de PIN que el enfoque anterior.

enlace

enlace

Referencias ligeramente más técnicas: (CTRL-F para "PIN sin conexión")

enlace

enlace