犯罪者は2011年に盗まれたEMVクレジットカードをどのように使用できますか？
2011年にフランスで詐欺が発生した紙 が公開された（これもArsからリンクされている）ことを思い出したいと思います。私は、EMVカードのセキュリティと米国でのその必須の導入についての議論をたどることによってこれに行き着きました。とにかく私はヨーロッパに住んでいます。
この質問は特定の詐欺に直接関連しており、この手法が軽減されるため、2011年にコンテキスト化する必要があります。これは、質問が実際ではないことを意味します。
概要
高度なMITM技術を採用し、実際に盗まれたカードのチップにプロキシチップを物理的に埋め込むことで、犯罪者はPINコードによるユーザー認証を完全に無効にし、盗まれたクレジットカードを使用してトランザクションを実行することができました。
不正が発見されて暗号分析された後、この手法を打ち負かすために、POSシステムとカードプロトコルに多くの不正防止機能が導入されました。
記事からの興味深い引用
私たちが調査を始めた理由は、銀行が誓った店舗取引でカードが盗まれて使用されたと主張する人々が何度も私たちのところに来て、PINを怠っていたことを証明したのに、顧客はできないと確信していたからです。なっている。"
私の質問
盗まれたカードが何ヶ月も使用可能だったのはどうしてですか？
EMVカードの導入そのもの（私たちヨーロッパ人にとっては長い間）以来、盗まれたカードに関するレポートを受け取るすべての銀行は、最初にカード自体を無効にし、実際には時間。クレジットカードが物理的に盗まれたり（2011年の詐欺のように）、そのPINが危険にさらされたり、強制されたりする可能性があります。
どちらの場合も、2011年のPOSマシンは、PIN検証に合格したカードを受け入れている間、そのカードはブラックリストに登録されたカードに表示されることになっているため、支払い処理業者から明確に拒否されます。 有効なカードのリストにありません。
それらのトランザクションが受け入れられ、処理される可能性はどのようにありましたか？この記事は盗まれたカードについて明確に述べていますが、カード所有者がそれを知らずに40枚すべてのカードが盗まれたとは思いません。また、カード所有者が銀行に電話してカードをブロックする前に、カードが盗まれてできるだけ早く使用されることについても話していません。
2011年より前から、すべての銀行がカードの盗難を報告するためのフリーダイヤル番号を提供していました。カードはすぐにブロックされ（ATMはカードをプレゼンターに返却することを拒否する場合もあります）、銀行は後で新しい_を使用して新しいEMVカードを発行します。PANと新しいPIN。盗まれたEMVカードを一度ブロックしなければならなかったので、これを直接経験しました。 PINで保護されていたため、誰が使用したことはありませんでしたが、とにかく電話で古いカードがブロックされ、数週間後に新しいカードが新しいカードになりました番号とコードが私に発行されました。
リンクした論文全体を読みましたが、その詐欺計画が支払い処理銀行に対してどのように効果的であるか理解できませんでした。その時点で支払い処理業者がカードがアクティブであるかどうかを確認しなかったでない限り、アドバタイズされた有効期限（チップに保存されている）とPIN認証結果に依存します。
この質問の意味は、理論的には、PINが盗まれたと報告されたEMVカードがさらに使用される可能性がある（またはその時点で使用された可能性がある）ということです。私は私の国で少数のPIN強制事件について知っています。
EMVの機能の1つは、チップも端末もオンラインになるようにフラグを立てていない場合、トランザクションをチップによってオフラインで承認できることです。端末は単にチップの応答を保存し、それを1日の終わりの決済の一部としてプロセッサに送信します。それがどれほど一般的であるかはわかりませんが、一部の端末はオンライン承認さえできません。
これは、オンラインで承認するためにプロセッサにダイヤルインする必要なしに、トランザクションをより高速に処理できるため、マーチャントにとって利点です。カード所有者にとっての唯一の利点はスピードです。発行銀行にはいくつかの利点があると思いますが、それが何であるかはわかりません。 EMVカードをコピーしたり、盗まれた場合に他の人が使用したりできないと想定する場合は、オンラインで承認するのと同じくらい安全です。
つまり、ターミナルで設定されたフロア制限を下回る金額で盗まれたカードを使用していた場合、オンラインで認証されていないため、その時点で盗まれたというフラグが立てられていない可能性があります。商人がそれが不正な取引であることに気付くのは、一日の終わりになってからです。
近年、ヨーロッパではプロセッサへの接続が改善されており、とにかくオンラインで処理されるトランザクションが増えています。最近、Visaがビザカードの下限をゼロに引き下げ、可能であればすべてのビザ取引をオンラインで承認することを義務付けていることを知っています。