Afritun kortaupplýsinga getur átt sér stað hvar sem er og hvenær sem er

Í frétt mbl.is er nefnt að korthafi hafi ekki notað kort sitt í Bandaríkjunum í yfir eitt ár.  Hvers vegna verið er að tengja misnotkunina við notkun í Bandaríkjunum er mér hulin ráðgáta og hreinlega hættulegt.  Það er nákvæmlega ekkert sem segir, að afritun kortaupplýsinganna hafi ekki átt sér stað hér á landi eða einhverju Evrópulandi.  Að misnotkunin eigi sér stað í Bandaríkjunum bendir eingöngu til þess, að sá sem keypti kortaupplýsingarnar til að útbúa nýtt kort, er staðsettur í Bandaríkjunum þegar misnotkunin á sér stað.  Hið falsaða kort gæti alveg eins hafa verið búið til í Hong Kong eða Ástralíu og falsarinn síðan ferðast til Bandaríkjanna eða selt einhverjum falsaða kortið og sá notað kortið í Bandaríkjunum.

Það er stórhættulegt að draga þá ályktun að svikin séu bundin við Bandaríkin.  Vissulega hafa mörg stór mál komið upp þar nýlega, en kortasvik eiga sér stað um allan heim.  Þetta er vaxandi vandamál og jafnvel bestu öryggiskerfi munu ekki koma í veg fyrir slíkt.  Besta vörnin er að fólk sé meðvitað um vandann og loki fyrir heimildir sem það er ekki að nota.  Svo verður hver og einn að meta hvort það sé umstangsins virði.

Höfundur er upplýsingaöryggisráðgjafi og hefur unnið að ráðgjöf fyrir Valitor (áður Greiðslumiðlun) undanfarin 6 ár.

Bylgja kortasvika

Athugasemdir

[Gummi (IP-tala skráð) 14.11.2009 kl. 23:10]

Lestu fréttina félagi áður en þú hefur skriftir.  Í fréttinni kemur fram að kortafærslurnar hafi verið gerðar í Bandaríkjunum um nóttina og því er eðlilegt að það komi fram að korthafinn hafi ekki notað kortið þá nóttina og ekki í Bandaríkjunum síðan fyrir ári.  Það segir hvergi í fréttinni og er ekki gefið í skyn að kortanúmerinu hafi verið stolið í Bandaríkjunum.

Lesa fyrst, blása svo...

[Marinó G. Njálsson, 15.11.2009 kl. 00:41]

Gummi, lestu fréttina og færsluna og skoðaðu samhengið.  Með því að vísa til þess að viðkomandi hafi ekki komið til Bandaríkjanna í ár, er verið að gefa í skyn að upplýsingunum hafi verið stolið í Bandaríkjunum á þeim tíma.  Það kemur málinu ekkert við hvenær kortið var síðast notað, fyrir utan síðustu notkun áður en upphæðir voru sviknar út af kortinu.  Ég er ekki að blása eitt eða neitt, ég er að fjalla um að kortasvik og að þau hefðu alveg eins, í þessu tilviki, hafa átt sér stað á Íslandi eða Danmörku eða Japan.  Bara einhvers staðar þar sem kortið var notað.  Þannig að, lesa fyrst og blása svo...

Bara til upplýsinga, þá þarf að stela kortaupplýsingum, þegar kort er rennt í gegn um lesara, ef ætlunin er að búa til nýtt kort. Eftir að búið er að komast yfir slíkar upplýsingar er hægt að framleiða kort.  Það er ekki hægt að nota upplýsingar, þar sem upplýsingar eru gefnar yfir síma eða á netinu, til að búa til nýtt kort.  Stærstu innbrot sem sögur fara af, má rekja til nokkurra mála í Bandaríkjunum.  Heartland-málið það stærsta.  Í því tilfelli var einmitt upplýsingum um innihald randarinnar stolið í massavís.  Að slatti af MasterCardkortum frá Íslandi sé að lenda í þessu núna, er líklegast einhverjum duttlungum háð.  Þetta voru bara númerin sem sett voru í umferð núna.  

Annars fara svona svik oft þannig fram, að svikarinn prófar fyrst litla upphæð, örfáa dali til að komast að því hvort kortið er opið.  Það er gjarnan gert á landfræðilega aðskildum stað frá þeim, þar sem aðalsvikin fara fram.  Úttekt á bensínstöð í New Jersey og síðan farið inn í stórverslun í Kaliforníu sem er opin 24 tíma sólarhrings.  Þannig að það eru tveir og tveir sem vinna saman.  Þar á viðkomandi oftast vitorðsmann, sem gerir svikaranum kleift að renna kortinu oft í gegn uns búið er að tæma heimildina.  Þess vegna getur verið skynsamlegt að lækka erlendar heimildir, þegar þeirra er ekki þörf.  Það dregur úr líkum á því að tjónið verði mikið.  Vissulega ber korthafinn almennt ekki tjónið, en kortafyrirtækið gæti gert það og að sjálfsögðu söluaðilinn.  Korthafinn liggur aftur í því á þann hátt, að heimildin hans er búin og kortið nýtist ekki aftur fyrr en búið er að leiðrétta færslurnar.

[Rabbi (IP-tala skráð) 15.11.2009 kl. 01:01]

ég held að það var bara verið að undirstrika það að korthafin hafi ekki verið í umræddu landi þegar að færslan eða færslunar voru gerðar.

[Marinó G. Njálsson, 15.11.2009 kl. 12:30]

Rabbi, og ég er að fjalla um, að það atriði skiptir ekki máli í tengslum við svikin.  Sá sem stal upplýsingunum gæti hafa verið hvar sem er í heiminum.  Höfum í huga, að hér á landi var stolið þúsundum, ef tugþúsundum, kortaupplýsinga sumarið 2008.  Eigum við þá að velta fyrir okkur hvort þessi kort hafi verið notuð hjá þessum tiltekna aðila (sem virðist ekki mega nefna á nafn og mun ég því ekki gera það).  Að notkun svikinna korta hafi verið í Bandaríkjunum, segir ekkert til um hvar korthafinn var staddur, þegar upplýsingunum var stolið.  Það er það sem ég er að benda á og vil að fólk sé vakandi gagnvart.

[Gagalovskí (IP-tala skráð) 15.11.2009 kl. 13:19]

Má ekki gera ráð fyrir því, að einhverjir þeirra glæpaflokka, sem nú gera sér tiðförult til að ræna hér á Íslandi, hafi haft með sér búnað til að ná kortaupplýsingum úr kortaskönnum hér víðsvegar um landið? Einhvernveginn held ég að við séum í það heila tekið svo miklir jólasveinar í þessum efnum, að slíkt sé tiltölulega auðvelt hér fyrir menn með þjálfun og kunnáttu á þessu sviði?

[Marinó G. Njálsson, 15.11.2009 kl. 13:43]

Gagalovski, það er einn möguleiki.  Hér voru í sumar eða var það í fyrrasumar gripnir menn með búnað til þess að setja framan á hraðbanka.  Lesarar, sem faldir eru í lófa, hafa verið á markaði í mörg ár og ekki þætti mér ólíklegt, að þá megi fá yfir netið.

Algengasta leiðin til að stela svona upplýsingum er með notkun Trójuhesta, þ.e. tölvukóða sem lætt er inn á upplýsingakerfi fyrirtækja.  Í einhverjum tilfellum staðsetja þessir kóðar sig inni í eldveggjum eða beinum.  Hugbúnaðurinn skannar síðan allt streymi til og frá í leit að 16 stafa talnarunum.  Atvikið hér á landi var þannig.  Hinn brotlegi kom aldrei hingað til lands, svo vitað sé.  Risamálin sem komu upp vestanhafs, þ.e. TJX í Kanada og Heartland í Bandaríkjunum, voru bæði þannig, þ.e. Trójukóðum var smyglað inn á upplýsingakerfi.  Þetta voru smartcodes, þ.e. þeir fluttu sig til og vistuðu sig alltaf inni á "ónotuðum" svæðum á diskum upplýsingakerfanna.  Sem sagt ákaflega "greindur" búnaður.  Höfuðpaurinn var vissulega gripinn fyrr á þessu ári, en ekki er vitað hverjum hann var búinn að selja búnaðinn og hverjir voru búnir að kaupa upplýsingarnar.

En svo við snúum okkur aftur að einhverjum gengjum, sem eru að koma hingað, þá held ég að ógnin af þeim varðandi stuld á upplýsingum sé óveruleg miðað við þau svik sem Íslendingar eru að lenda í erlendis.  Það er ekki þar með sagt, að við eigum ekki að vera vakandi fyrir þessu.  Og það sem meira er:  Allir sem vista kortaupplýsingar á upplýsingakerfum sínum eða senda eða móttaka slíkar upplýsingar eiga að uppfylla gagnaöryggisstaðal greiðslukortafyrirtækja.  Vandinn er að mörg fyrirtæki hafi ekki lokið þeirri vinnu og uppfylla ekki kröfurnar, þrátt fyrir að því hafi átt að vera lokið 2006, svo fengu menn frest til 2007, 2008, 2009 og núna er algjör lokafrestur 1. október 2010.  Eftir það geta fyrirtæki lent í því að þeim verði neitað um kortaviðskipti.  Það gæti orðið vandræðalegt.  Ég veiti ráðgjöf um þetta og ef einhver er í vafa um stöðu sína, þá bara að hafa samband ([e-mail]) og ég sé hvað ég get gert fyrir viðkomandi.