Due vulnerabilità di carte di credito col chip

Manomettere bancomat e POS non è poi così complicato.



[ZEUS News - www.zeusnews.it - 16-08-2016]

credit card hacking

Le carte di credito e le carte bancomat con il chip (sistema EMV) sono certamente un gran passo avanti, per quanto riguarda la sicurezza, rispetto a quelle dotate soltanto della vecchia e insicura banda magnetica.

Tuttavia, non esiste tecnologia che sia a prova di hacker. All'ultima Black Hat security conference di Las Vegas sono infatti stati svelati due attacchi che rappresentano altrettante minacce concrete alla sicurezza delle carte con chip.

Il primo sistema è stato ideato da due ricercatori della NCR Corporation, azienda che produce bancomat e lettori di schede.

Tale attacco induce l'apparecchio che gestisce i pagamenti a credere che la carta utilizzata non sia dotata di chip, obbligando quindi la macchina a utilizzare i dati contenuti nella banda magnetica.

Ciò è possibile manipolando le informazioni trasmesse dal tastierino esterno con cui si inserisce il PIN (come quelli adoperati nei negozi o nei supermercati, non quelli integrati nei bancomat).

Il lato positivo di questo scenario è che l'attacco non funziona con i dispositivi che sono costantemente online per processare immediatamente i pagamenti ma soltanto con quelli che si connettono al sistema periodicamente, accumulando i pagamenti in una coda che viene smaltita dopo un certo periodo.

Questo perché nel primo caso l'istituto che ha emesso la carta può immediatamente verificare l'incongruenza tra il fatto che la carta è dotata di chip e le informazioni arrivate dal POS, secondo le quali il chip non ci sarebbe, e bloccare così il pagamento.

Questo primo attacco non è, in sé, il frutto di una debolezza del sistema EMV, quanto l'effetto del mantenimento in vigore del più vecchio sistema a banda magnetica. Il secondo attacco, invece, riesce davvero a mettere in questione la sicurezza dell'EMV.

Sondaggio
Ricevi un'email con un allegato Word dal nome ôAddebitiö. Cosa fai?
Scarico il file e lo apro. Dev'essere qualcosa di importante
Prima di aprirlo, scansiono il file alla ricerca di eventuali virus
Inoltro l'email alla mia banca o alla mia azienda
Cancello il messaggio

Mostra i risultati (3545 voti)
Leggi i commenti (20)

Tale sistema è stato sviluppato dai ricercatori di Rapid7 e si basa sulla manomissione del lettore.

Ciò significa che, per essere portato a termine, l'attacco richiede accesso fisico all'apparecchio. Se ciò si verifica, diventa possibile inserire un software che legga il numero dinamico che il chip genera per ogni transazione e lo trasmetta all'hacker che l'ha installato.

Se l'hacker è veloce - dato che il numero ha una validità molto limitata - può adoperare i dati acquisiti per svuotare il conto del proprietario della carta.

Alla Black Hat conference i ricercatori hanno dimostrato il funzionamento dell'attacco contro un bancomat. Il tempo a disposizione degli hacker è poco, ma è comunque sufficiente per fare danni seri.

EMVCo, il consorzio che gestisce EMV, ritiene comunque che i rischi per i possessori di carte sia molto limitato: «EMVCo ritiene che un attacco di questa natura sia estremamente difficile e rischioso da eseguire nel mondo reale. Quand'anche dovesse verificarsi, nel momento in cui il processo di pagamento viene preso in carico ci sono diverse contromisure che si possono mettere in atto per ridurre le conseguenze dell'attacco».

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Commenti all'articolo (1)

Veloce quanto? Parliamo di secondi o minuti, nel primo caso mi sembra una minaccia poco credibile, nel secondo potrebbe giÓ essere pi¨ seria, in ogni caso basta far si che il numero sia valido per la sola transazione che l'ha generato e non per altre per azzerare la minaccia. Leggi tutto
19-8-2016 14:59

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Negli ultimi due anni, quante volte hai formattato l'hard disk del PC?
Nessuna
Una
Un paio
Quattro o cinque
Una decina
Di pi¨

Mostra i risultati (4207 voti)
Giugno 2023
Pirati del web in lutto: Rarbg chiude per sempre
Venti di tecnocontrollo in Spagna
Maggio 2023
Stack Overflow è la prima vittima della IA
WhatsApp, ora i messaggi si possono modificare dopo l'invio
HP e l'aggiornamento che rende inutilizzabili le stampanti
Windows 10 21H2, aggiornamento forzato in vista
Google Chrome dirà addio al lucchetto da settembre
WhatsApp accede di nascosto al microfono. Solo un bug di Android?
Western Digital agli utenti: gli hacker hanno i vostri dati
Il “Padrino della IA” lascia Google per avvertire il mondo dei pericoli
Aprile 2023
WhatsApp introduce il supporto a più smartphone
La UE metterà il naso negli algoritmi dei giganti del web
Con la vendita della Rete TIM avremo le tariffe più alte
Windows 11 in versione live
Western Digital violata, sottratti 10 Tbyte di dati
Tutti gli Arretrati
Accadde oggi - 5 giugno


web metrics