Cardadura

Fraude con tarjetas de pago, carding (del inglés  carding ) - un tipo de fraude , en el que se realiza una operación utilizando una tarjeta de pago o sus datos, no iniciada o no confirmada por su titular. Los detalles de la tarjeta de pago, por regla general, se toman de servidores pirateados de tiendas en línea , sistemas de pago y liquidación, así como de computadoras personales (ya sea directamente o a través de programas de acceso remoto , " troyanos ", "bots" con la función de captura de formularios ) . Además, el método más común para robar números de tarjetas de pago en la actualidad es el phishing.( Phishing en inglés  , "fishing" distorsionado - "fishing"): la creación por parte de los estafadores de un sitio en el que el usuario confiará, por ejemplo, un sitio similar al sitio del banco del usuario, a través del cual se roban los datos de la tarjeta de pago .

Uno de los mayores delitos en el campo del fraude con tarjetas de pago es la piratería del procesador mundial de tarjetas de crédito Worldpay y el robo de más de 9 millones de dólares estadounidenses utilizando sus datos. En noviembre de 2009, en este caso, se presentaron cargos contra un grupo delictivo formado por ciudadanos de los estados de la CEI [1] .

robo de tarjeta

Los delincuentes solo pueden usar una tarjeta robada o extraviada hasta que el propietario notifique la pérdida a su banco, o en transacciones fuera de línea. La mayoría de los bancos ofrecen una línea telefónica las 24 horas para este tipo de mensajes.

La principal medida de protección es la presencia de una firma en la tarjeta y la obligación de firmar cheques. En algunas tiendas, al pagar con tarjeta, se requiere presentar documentos de identificación. Sin embargo, es ilegal exigir un documento en algunas jurisdicciones.

Las tarjetas robadas se pueden usar en algunas terminales de autoservicio (como estaciones de servicio) que no requieren un código PIN.

En Europa, la mayoría de las tarjetas EMV están equipadas con un chip que normalmente requiere que se ingrese un PIN numérico de 4 dígitos al realizar compras. Si el código no es interceptado, el estafador solo puede usarlo en transacciones en las que no se requiere el código, por ejemplo, en transacciones en línea (electrónicas) o en terminales POS equipadas solo con un lector de banda magnética.

Existen sistemas de software y un conjunto de medidas organizativas destinadas a prevenir o complicar posibles transacciones fraudulentas. Por ejemplo, una gran transacción realizada lejos del lugar de residencia del titular, o alternativamente, en otro país, puede ser declarada nula o incluso provocar un bloqueo temporal de la tarjeta.

Operaciones sin tarjeta

Para realizar una transacción, solo se requieren algunos datos escritos en la tarjeta. Normalmente, la tarjeta contiene (en forma de inscripción y en una banda magnética): el nombre del titular, número de tarjeta ( PAN ), mes y año de vencimiento, código de verificación ( CVV2 ).

Hay operaciones que no requieren la presencia física de una tarjeta, y la transacción se realiza solo de acuerdo con los datos de la misma. El conjunto de información mínimo requerido es el número de tarjeta, a menudo también se requiere una fecha de vencimiento, con un poco menos de frecuencia, un código de verificación.

Un atacante puede copiar estos datos si se confabula con personas que tienen acceso a las tarjetas, por ejemplo, con un camarero o cajero. Los datos se pueden fotografiar o recuperar de un video. También es posible obtener dichos datos mediante un virus instalado en el ordenador del usuario, métodos de ingeniería social (imitación de una llamada de un banco) o pirateando tiendas online o sistemas que sirven tarjetas. Luego, los delincuentes utilizan los datos en transacciones sin la presencia de la tarjeta.

La introducción de notificaciones operativas de operaciones proporciona cierta protección contra este tipo de delitos. Además, las tecnologías 3-D Secure , MasterCard Security Code, Verified by Visa protegen parcialmente contra dicho fraude , en el que se requiere un código adicional para que la operación se reciba en una sucursal bancaria, a través de un cajero automático, a través de SMS o utilizando un código de hardware. generador (ficha).

rozando

Un caso especial de carding es el skimming (del inglés  skim   - crema descremada), que utiliza un skimmer  , una herramienta de un atacante para leer, por ejemplo, la pista magnética de una tarjeta de pago . Al llevar a cabo esta operación fraudulenta, se utiliza un complejo de dispositivos de desnatado:

• una herramienta para leer la pista magnética de una tarjeta de pago es un dispositivo instalado en un lector de captura de tarjetas y un lector de tarjetas en la puerta de entrada al área de atención al cliente en las instalaciones del banco. Se trata de un dispositivo con cabezal magnético de lectura, amplificador-convertidor, memoria y adaptador para conectar a un ordenador. Los skimmers pueden ser portátiles, en miniatura. La idea principal y tarea del skimming es leer los datos necesarios (contenido de una pista/pista) de la banda magnética de una tarjeta para su posterior reproducción en una falsa. Así, al realizar una transacción con una tarjeta falsa, la solicitud de autorización y debito de fondos por una transacción fraudulenta se realizará de la cuenta de la tarjeta original, “desnatada”.
• una cámara de video en miniatura instalada en un cajero automático y dirigida al teclado de entrada en forma de visor de cajero automático o superposiciones extrañas, por ejemplo, materiales promocionales, se usa junto con un skimmer para obtener el PIN del titular, que le permite recibir dinero en efectivo en cajeros automáticos utilizando una tarjeta falsa (con datos de seguimiento y el PIN original) .
• Uso de código malicioso incrustado en un cajero automático . Los volcados de tarjetas bancarias se registran sin el uso de equipos especiales y es imposible que la persona promedio reconozca este método, pero es extremadamente raro y en la mayoría de los casos prevalece entre los bancos pequeños. . Además, con la ayuda de volcados, se crean copias de los mapas.

Estos dispositivos funcionan con fuentes de energía autónomas: baterías en miniatura y, para que sea difícil detectarlos, generalmente están hechos y disfrazados con el color y la forma de un cajero automático.

Los skimmers pueden acumular información robada sobre tarjetas de plástico o transmitirla de forma remota por radio a los intrusos cercanos. Después de copiar la información de la tarjeta, los estafadores hacen un duplicado de la tarjeta y, conociendo el PIN, retiran todo el dinero dentro del límite de emisión, tanto en Rusia como en el extranjero. Además, los estafadores pueden utilizar la información recibida sobre la tarjeta bancaria para realizar compras en puntos de venta.

Medidas de protección

Para evitar débitos ilegales en una tarjeta bancaria, se recomienda aplicar las siguientes medidas de seguridad:

• no transfiera su tarjeta a las manos equivocadas, asegúrese de que la tarjeta se use solo para el propósito previsto (de modo que sea imposible usar un dispositivo portátil de desnatado escondido debajo de la ropa, por ejemplo, un mesero o un empleado de estaciones de servicio, empleado de una tienda, etc.).
• esté alerta y atento cuando use un cajero automático, preste atención a los elementos estructurales no estándar: un teclado superpuesto que se usa para leer el PIN . En el caso de skimming, dicho teclado se encuentra, por regla general, por encima del nivel de la caja del cajero automático, se separa fácilmente de él y, a menudo, una parte del original es visible debajo de la factura.
• preste atención a las microcámaras de video instaladas en el propio cajero automático, que se pueden montar tanto en la cubierta del cajero automático como disfrazadas como artículos relacionados con el cajero automático, por ejemplo, materiales promocionales.
• minimizar los casos de uso de tarjeta bancaria en lugares sospechosos; si es posible, utilice una tarjeta bancaria en locales bien visibles.
• las retiradas de efectivo y otras operaciones bancarias realizadas mediante cajeros automáticos, si es posible, se realizarán en el mismo cajero, recordando su apariencia. Como regla general, las modificaciones técnicas estándar de los cajeros automáticos de un banco rara vez afectan su apariencia.
• si es posible, escriba su PIN rápidamente, con movimientos aprendidos y, preferiblemente, usando varios dedos a la vez; esto dificultará que los intrusos reconozcan sus movimientos. Si es posible, cubra la mano que escribe el PIN con la otra mano, cartera o algún otro objeto.
• si el banco emisor de una tarjeta bancaria tiene a su servicio el servicio de notificación rápida al tarjetahabiente sobre los hechos de débito (notificaciones SMS), conéctelo para la respuesta más rápida a los débitos ilegales.
• use tarjetas bancarias con un microchip incorporado , si es posible [2] .

Estadísticas

A principios de la década de 2010, de los 5600 millones de tarjetas bancarias válidas en los Estados Unidos, solo unos 20 millones eran tarjetas inteligentes (que contenían un chip). Entre 2007 y 2011, el Servicio Secreto de EE . UU. arrestó a más de 5000 delincuentes involucrados en el robo de información [3] . Las pérdidas para 2012 se estiman en $ 11,3 mil millones. [4] Alrededor de 20.000 skimmers se descubren anualmente en el país [5] .

En el Reino Unido, entre 2001 y 2011, el fraude con tarjetas de plástico generó pérdidas de 300 a 600 millones de libras al año [6] . Una proporción importante de los delitos se cometieron utilizando datos de tarjetas en transacciones que no requieren la presentación de una tarjeta (por ejemplo, compras a través de Internet). Las pérdidas por desnatado, que oscilaron entre 100 y 170 millones de libras anuales en 2001-2008, disminuyeron significativamente en 2010-2011, a 47-36 millones de libras, debido a la introducción generalizada de tarjetas con chip y chips compatibles con iCVV y DDA [6 ] .

En Rusia en la década de 2010, según datos oficiales, se cometen miles de delitos con tarjetas de plástico al año [7] . En 2011, los daños causados ​​por el cardado se estimaron en 400 millones de dólares [8] .

ver también

• Suplantación de identidad

notas

1. ↑ Computer, News Hackers detrás del atraco del siglo acusados . Computer Crime Analytics (1 de noviembre de 2009). Consultado el 10 de noviembre de 2009. Archivado desde el original el 25 de agosto de 2011. (indefinido)
2. ↑ Las tarjetas de plástico con banda magnética serán reemplazadas por tarjetas con chip - Tatyana Shadrina - Rossiyskaya Gazeta . Fecha de acceso: 28 de enero de 2014. Archivado desde el original el 2 de febrero de 2014. (indefinido)
3. ↑ Yudhijit Bhattacharjee . Robo automático de máquinas Los ladrones están mejorando para robar la información de su cajero automático. Por qué EE. UU. es un punto tan conflictivo  (inglés) , TIME (17 de enero de 2011). Archivado desde el original el 25 de febrero de 2014. Consultado el 28 de enero de 2014.  "Desde 2007, el Servicio Secreto ha realizado más de 5000 arrestos en casos de robo y el FBI también ha descubierto una buena cantidad de redes de robo".
4. ↑ Serguéi Golubitsky . La verdad sobre Target que nunca sabrás debido a la pista falsa con Kaptox y el rastro  ruso (ruso) , Computerra-Online (24 de enero de 2014). Archivado desde el original el 27 de enero de 2014. Consultado el 28 de enero de 2014.
5. ↑ Protección de cajeros automáticos: ¿por qué los precios de los skimmers están cayendo y los anti-skimmers están creciendo?. — SIA . Fecha de acceso: 29 de enero de 2014. Archivado desde el original el 2 de febrero de 2014. (indefinido)
6. ↑ 12 Fraude Los hechos 2012 . Fecha de acceso: 29 de enero de 2014. Archivado desde el original el 22 de septiembre de 2013. (indefinido)
7. ↑ Fraude con tarjetas plásticas: su portal de educación financiera de finanzas personales . Fecha de acceso: 29 de enero de 2014. Archivado desde el original el 1 de febrero de 2014. (indefinido)
8. ↑ Hay una segunda ola de robo de dinero de tarjetas bancarias. Los estafadores usan skimmers para leer datos de tarjetas bancarias , Gazeta.ru (21/10/2011). Archivado desde el original el 2 de febrero de 2014. Consultado el 29 de enero de 2014.

Enlaces

• Historia de Carderplanet // Hacker, Edición No. 08/2006 (92), pp. 092-086-1