Одежда

Одежда

ЦБ рекомендует: заворачивайте карты в фольгу

Насколько безопасны бесконтактные банковские карты?

Выдали мне в Сбербанке взамен старой пластиковой карты современную – бесконтактную. Которую можно просто поднести к терминалу для оплаты покупки, и деньги сами утекут – безо всяких пин-кодов. А отказаться можно? – спросила я. «Нельзя», – ответил менеджер банка. Не заподозрив во мне журналиста, она поделилась, как деньги с их карт «украдывают» и какую защиту от этого предлагает банк.

Кошелек или сумочка?

В Сбербанке меняют ваши старые пластиковые карты на новые – они с уже встроенным радиочипом. Технология бесконтактной оплаты для карт Visa называется PayWave, для Mastercard – PayPass. Суть одинакова: карту можно не засовывать в терминал при оплате покупки, а просто поднести ее. При этом используется технология RFID (когда пластиковая карта и терминал обмениваются радиосигналами). Если сумма покупки меньше 1000 рублей, то система пин-код не спрашивает – просто списывает деньги со счета. Можно ли отказаться от этого чуда технологий? – спросила я менеджера допофиса № 9055/1823 Марию. У Марии был важный вид. Она посмотрела на меня как на отсталую в техническом плане гражданку и сказала, что отказаться от использования бесконтактного чипа нельзя. Получить карту без радиометки тоже нельзя. И даже уменьшить сумму «бесконтактного и бесконтрольного» списывания средств (без ввода пин-кода) нельзя.

Ответ меня сильно удивил, и я на всякий случай включила диктофон. Заодно решила узнать у Марии то, что давно собиралась спросить у Сбербанка, но стеснялась. Насколько эта замечательная система PayPass/PayWave безопасна?

При оплате карту вообще «можно не доставать из кошелька» – написано на сайте Сбербанка. Меня волнует: а из сумочки она действует? А если да, то любой, кто прижался в автобусе своим мобильным терминалом к моей карте (которая в сумочке), сможет воспользоваться моим счетом (в пределах 1000 руб)?

Нет, через сумку не получится, – подумав, сказала Мария. – Надо прижиматься очень-очень плотно! Когда я сама прикладываю, если криво карту приложу – не срабатывает. У меня даже в метро не всегда получается рассчитаться, хотя я прям так прижимаю, – менеджер показала руками как.

– Для чего тогда нужны металлические чехлы, на которых написано, что они предназначены для защиты карт от несанкционированного снятия денег?

– Возможно, они нужны для защиты от переносных скиммингов, рассчитанных на систему PayPass и PayWave, – сказала Мария.

(Ремарка в скобках: скиммеры – это устройства такие, для кражи денег с карт.) Как они работают? – спросила я.

– Ни разу не видела! Но есть скимминги, которые мошенники устанавливают прям на терминалы банкомата. А у таксистов есть такие небольшие … Когда вы прям там карту вставляете… Я думаю, это должно быть что-то наподобие. Но к нему тоже надо прям хорошо приложиться! – немного сбивчиво, но уверенно объяснила Мария.

– И что делать? Как защищаться? – вскричала я в испуге.

– Сбербанк может вам предложить оформить финансовую защиту от мошеннических действий, – сообщила Мария.

По ее словам, финансовая защита страхует от «краж по скиммингу», «краж, когда перехватывают данные карты в общественных местах».

– Например, сотрудники общественных предприятий – кафе, отелей – считывают номер карты, запоминают оборотные три цифры и совершают покупки в Интернете. Как правило, именно сотрудники крадут данные карт! А вот если кто украдет саму вашу карточку, то он сможет пойти в магазин и до тысячи рублей рассчитаться за покупки. Три операции он так совершит, а на четвертый раз уже потребуется пин-код. А еще бывает, что в очереди люди стоят деньги снимать, а у них пин-коды подсматривают и карты украдывают! – решила быть откровенной со мной менеджер.

По ее словам, от всех этих безобразий (и еще много от чего) может спасти «финансовая защита» от Сбербанка, и всего за 990 рублей в год. Я обещала подумать и попрощалась. Но вопросы остались. Если я не заплачу Сбербанку за «защиту финансов» 990 рублей, значит, мои финансы будут защищены меньше, чем у тех, кто заплатил?

И еще непонятно про кошелек и сумочку. Если можно платить, не доставая карту из кошелька, то почему нельзя платить, не доставая карту из сумочки?

Мучаясь этими вопросом, я положила свое бесконтактное чудо технологий поглубже в карман кошелька сумочки (есть у меня такой) и пошла искать ответы у других специалистов.

ЦБ РФ: экранируйте фольгой

Мои сомнения оказались не беспочвенными. Бесконтактные карты оказались довольно беззащитными существами. Хотя MasterCard, Visa, как и Сбербанк, уверяют, что пользоваться ими не опаснее, чем другими технологиями для безналичной оплаты. Но Центробанк РФ предупреждает россиян.

«В местах большого скопления людей (переполненном общественном транспорте, на рынках, в магазинах) злоумышленник прислоняет бесконтактный считыватель или POS-терминал к карманам одежды, стенкам сумок и крадет деньги с карт у ничего не подозревающих жертв. Злоумышленнику достаточно приблизить считыватель к карте на расстояние 5–20 сантиметров, чтобы произвести списание. Полученную информацию мошенники могут также записывать на карты-клоны для дальнейшего хищения средств с настоящих банковских карт», – это информация официального сайта Банка России.

Там же есть рецепты, как защищаться.

«Использовать специальные экранированные бумажники (карта кладется в отсек, экранированный фольгой). Убедиться, что в качестве подтверждения списания суммы более 1000 рублей стоит запрос PIN-кода, а не подпись чека. В случае если вы не планируете оплачивать бесконтактным способом покупки на сумму более 1000 рублей, рекомендуется (при наличии такой возможности у банка-эмитента) установить индивидуальный расходный лимит по карте и ограничить размер возможных транзакций», – рекомендует Центробанк.

Эксперты Центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере ЦБ РФ (ФинЦЕРТ), рассказали, что наиболее популярным способом краж в РФ по-прежнему остается скимминг, при котором информация о банковской карте крадется с помощью специального устройства.

Хакерский «считыватель» достаточно приблизить на 20 см к карте с чипом RFID, чтобы считать информацию. Разновидностью скимминга являются шимминг и Black Box – взлом и установка в банкоматы вредоносного программного обеспечения.

Как сообщает сайт ЦБ РФ, ФинЦЕРТ «зафиксировал единичные случаи использования устройств, способных считывать информацию с чипов платежных карт. В настоящее время проводится техническое исследование этих устройств… Использование злоумышленниками полученной информации для создания копии платежной карты возможно, но затруднительно».

По данным аналитического центра Zecurion, в 2017 году число краж денег с банковских карт в России может вырасти по сравнению с предыдущим годом на 30 %.

Пойду куплю шоколадку для своей банковской карты. Шоколадку съем, в фольгу положу свой пластик.

Елена Роткевич

Сбербанк комментирует

Мы попросили ответить на два наших вопроса пресс-службу Северо-Западного банка ПАО Сбербанк. Получили ответы на большее количество вопросов.

– Безопасны ли платежи с помощью карт, имеющих PayWave/PayPass? Что делать, чтобы защитить такую карту от злоумышленников?

– Сама по себе возможность бесконтактной оплаты не дает никаких преимуществ мошенникам: они не могут списать деньги без вашего ведома. Просто необходимо соблюдать основные правила безопасности, и рекомендуем обязательно подключить услугу Мобильный банк.

Ответы на возможные вопросы:

– Могут ли мошенники списать деньги считывающим устройством, незаметно прижав его к моему карману, – например, в транспорте, в магазинной очереди или в уличной толпе?

– POS-терминал «как в магазине» не может купить человек с улицы. Все подобные устройства регистрируются торговыми точками, деньги через терминалы переводятся на счета, у которых всегда есть владельцы – с паспортными данными, ИНН и т.п. Если какой-то предприниматель пойдет со своим терминалом в транспорт совершать фальшивые продажи, его сразу вычислят после первого же заявления пострадавшего

Терминал активируется для оплаты всего на несколько секунд. За это время очень сложно понять, где находится кошелек, и приблизиться к нему на расстояние не больше 4 см (именно таков радиус действия волн терминала).

Если бы мошенник сделал POS-терминал своими руками и научился бы мгновенно находить подходящие кошельки в толпе, ему надо было бы принимать безналичную оплату на какой-то счет. Анонимных счетов в России не бывает, а это значит, что мошенник не смог бы получить деньги, не «засветив» чье-то имя.

– Если коснуться терминала дважды, оба раза спишутся деньги?

– Нет. Терминал активируется, когда кассир вводит сумму. Это действует только на одну оплату, причем всего несколько секунд. Как правило, мы слышим при этом звуковой сигнал и видим на терминале значок бесконтактной оплаты. Если вы второй раз коснетесь терминала, а кассир при этом не вводил сумму новой покупки, терминал не «пикнет» и операция не пройдет.

– Если карту украли, могут ли воры потратить все деньги?

– Да. Они не смогут получить наличные с вашей карты и им будут доступны лишь мелкие покупки. Но чтобы любую попытку оплатить что-либо вашей картой отследить, обязательно подключите услугу Мобильный банк, с которой вы будете получать СМС-уведомления обо всех операциях. Если вы увидели, что с карты списана сумма, которую вы не тратили, сразу позвоните в контактный центр Сбербанка по номеру 900 и заблокируйте карту.

– Не спишутся ли деньги с моей карты за чужую покупку, если человек платит в магазине, а я стою в очереди очень близко, вплотную за ним?

– Нет. Для проведения операции карта должна быть прямо у терминала, на расстоянии не больше 4 см. Вряд ли человек в очереди перед вами будет стоять так близко к вам.

– С какой карты спишутся деньги, если касаться терминала кошельком, а в нем лежат кредитная и дебетовая карты (обе – бесконтактные)?

– Если в зоне действия терминала окажется больше одной бесконтактной карты, оплата не пройдет, а на терминале высветится надпись «Приложите одну карту». С какой карты платить, выбираете только вы сами, терминал не сделает это за вас.

– Можно ли на этих картах снизить лимит оплаты без ввода пин-кода ниже 1000 руб?

Защитит ли алюминиевая фольга, банковскую карту от воровства?

Сейчас появился такой вид мошенничества, как считывание пин кода с чужой карты и впоследствии снятие с неё денег. Говорят, это происходит в метро. Достаточно подойти к жертве на пол метра и можно считать пин. По телевизору сказали, обернуть карту в алюминиевую фольгу, для страховки. Действительно ли фольга может обезопасить?

Слишком много непонимания, сказок и заблуждений

  • Как уже было отмечено – пин-код в карте не хранится, так что воровство теоретически существует, но не пин-кода
  • Журналамеры хотели рассказать (или “им рассказывали”) про бесконтактные карты (MasterCard-Maestro PayPass/Visa payWave), а получилось – как получилось: обычные-то карты прокатываются через считыватель терминала, “воздуха” там нет совсем
  • Дистанция работы терминала для бесконтактных карт – сильно меньше полуметра (мощность никто задирать не позволит)
  • Теоретически если иметь рабочий терминал (с подключенным эквайрингом. что дорого и достаточно нудно) и знать у кого есть бесконтактная карта и приблизиться близко достаточно (для срабатывания приемника) и иметь предварительно взведенную транзакцию на сумму меньше 1000 рублей (она идет без подтверждения пин-кодом), то подобное снятие провести можно. только вот слишком много условий должно сойтись (а еще надо перезаряжать терминал после каждого успеха), чтобы считать “. прошелся злобный хакер в толпе в метро – и у всех пасссажиров пустые карты. ” фантастическим ужастиком:

Изоляция любого вида (просто расстояние, фольга) являются достаточной гарантией защиты бесконтактной карты, если спокойнее с фольгой – ну можно, ценой геморроя с разворачиванием при использовании, но если меня вдруг ударит паранойя на все деньги – предпочту портсигар: эффект тот же, а практичнее

Принцип работы бесконтактных устройств, в том числе и банковских карт с технологией PayPass|payWave в срабатывании “радиочипа” (RFID) от источника внешнего поля – за счет индукционных токов чип получает необходимое питание и начинает сам передавать записанную в нем идентификационную информацию.

Но напряженность поля убывает прямо пропорционально квадрату расстояния от его источника. В обычном банковском терминале “рабочая дистанция” не превышает 1 дюйм, т.е. 2,5 см. Если расстояние 25 см, то для срабатывания RFID напряженность поля должна быть в уже в 100 раз выше, и это без учета экранировки, т.е. по факту для уверенного срабатывания нужно даже не в 100, а в 1000 раз больше. Т.е. использовать обычный банковский терминал не получится – его нужно будет серьезно модифицировать. Это первая сложность – техническая.

Второй момент – деньги списываются не просто так, а по результатам установления сеанса связи с банковским сервером, где помимо прочего фиксируется и IP-устройста, по которому через гео-трекинг легко определить реальное местоположение терминала, если это окажется метро, да ещё терминал перемещается в пространстве со скоростью поезда, то это серьезный повод для банка отклонить подобный запрос (всё-таки оно плохо вяжется с представлением о традиционном магазине). Т.о. второй момент – это сложности информационные.

Третье – после списания с карточки клиента деньги попадают на банковский счет некой организации, чтобы превратить их из безналичное формы в наличную этой организации придётся прибегнуть к услугам т.н. “обнальной конторы”, на счет которой делается липовый перевод. В свете ведущейся последние пару лет жесткой политики по отзыву лицензий банков подобные операции чреваты для банка очень серьезными проблемами (списки “обнал”-фирм есть и в налоговой, и в самих банках, и платежи в их адрес банками просто блокируются). То есть третий момент – проблемы финансово-правового характера.

Есть ещё одна проблема – СМС-информирование у клиентов: списание средств приведёт к получению СМС, кто-то их проигнорирует, кто-то сразу же прочитает. И тут возникает проблема “могут поймать и набить морду”.

Суммируя: теоретически, конечно, похитить средства подобным образом можно, но слишком много возникает “но”. Ну а как средство от паранойи вместо фольги можно посоветовать металлическую визитницу – она прекрасно подходит и для банковских карточек, а через замкнутую металлическую поверхность преступники “пробиться” точно не смогут.

Как защитить кошелёк от RFID и NFC-мошенников, чтобы не украли деньги

Пользуетесь бесконтактными платежами, документами с радиочастотной меткой или используете смартфон в качестве ключа? Все данные под угрозой — но мы научим вас избегать взлома.

Бесконтактные технологии: удобно, быстро, опасно


Пластиковые карты и документы с микрочипами на основе ближней радиосвязи (NFC) или с радиочастотными метками (RFID) сегодня есть у каждого. Ими оснащаются многие кредитные и платежные карты, водительские удостоверения, идентификационные карты, паспорта, проездные билеты на метро и многое другое.

Бесконтактная форма идентификации действительно удобна — особенно если это Apple Pay или подобная платежная система. Даже прикладывать к терминалу не нужно: поднес на достаточное для связи расстояние, подтвердил платеж отпечатком пальца, платеж прошел.

Несмотря на свое удобство, обе технологии содержат много дыр безопасности, позволяющих злоумышленникам получить конфиденциальные данные. Для того, чтобы украсть данные карты, пароли со смартфона или скопировать пропуск, не нужно подходить близко.

Чем опасен RFID


Чипы RFID позволяют считывать данные на расстоянии до нескольких метров. Все, что нужно для связи с меткой в документах — купить готовое устройство на eBay.

Считыватели близкого радиуса действия стоят около 50 долларов, дальнего — порядка сотни. Ссылок не дам, и доставка в Россию может вызвать проблему со спецслужбами. Но цена позволяет экспериментировать даже школьнику.

После считывания у злоумышленника на руках остается полная электронная копия всей информации RFID-метки. С ее помощью можно сделать поддельную копию, либо использовать другими методами — в зависимости от типа украденного документа.

Терминалы будут воспринимать копию в качестве оригинала. Доказать обратное практически невозможно.

Чем опасен NFC


NFC фактически является вариацией RFID, хотя и обладает меньшей дальностью — всего несколько сантиметров. Но это — только для заводских, лицензионных устройств.

Исследователи из британского Университета Суррей смогли считать данные по NFC на расстоянии до 80 см. Испанские хакеры и вовсе научили Android-смартфоны превращаться в ретранслятор NFC-сигнала, распространяющего собственные важные данные.

Подобный подход позволяет провести платеж прямо через смартфон владельца. Но есть и другие способы.

Например, подключившись через NFC другим смартфоном или серийно выпускаемым ридером с помощью приложения Banking card reader NFC (Android) можно получить все необходимые данные карт, использованных при операциях в браузере. Далее достаточно найти магазин, позволяющий проводить оплату без ввода указания CSV-кода (а такие еще существуют).

Как защитить свои деньги и данные? Самодельные варианты


Для того, чтобы полностью исключить нежелательные контакты с считывающими устройствами, программных средств может быть недостаточно (об этом — чуть позже).

Поэтому стоит обратиться к дедовским методам, и начисто отрезать излучению путь к своим деньгам картам. Идеальны для этого два материала — вода и металл.

Конечно в пакете с водой носить карты затруднительно. А вот кусок обычной пищевой фольги из рулона (подойдет и от шоколадки — но не из пачки от сигарет) полностью блокирует сигналов RFID и NFC.

Это наиболее эффективный и удобный способ. Достаточно обернуть карту фольгой, и доставать из нее только в момент оплаты.

Боитесь прослыть параноиком? Тогда пригодятся готовые решения.

Как защищают данные ответственные служащие?


Многие западные компании (о российских у меня нет данных) требуют от сотрудников пользоваться специальными бумажниками и обложками для документов с соответствующим логотипом “Protected from RFID”.

Наибольший выбор аксессуаров, блокирующие RFID-сигнал, предлагает компания Identity Stronghold. Часть их ассортимента изготовлено по заказу правительства США для государственных служащих.

Можно найти и более дешевый вариант — на AliExpress есть масса разнообразных чехлов для карт, бумажников с металлическими вставками. Например, такие, или такие. Можно и просто искать по тегу “NFC protected”.

На сайте BetaBrand.com можно приобрести одежду с защитой от несанкционированного доступа. Аналоги есть. К тому же, металлизированную ткань можно найти в продаже и прошить ей карманы одежды (но это уже чересчур суровый DIY).

Кстати, есть и защищенные от беспроводного взлома рюкзаки — например, Dash Keyboard.

Как исключить кражу данных


Впрочем, стоит помнить, что металлический кошелек или визитница для карт не исключают возможность кражи данных карт.

1. Не включайте NFC без надобности, не держите его постоянно включенным.

2. То же касается других беспроводных интерфейсов — Bluetooth и Wi-Fi.

3. Проверяйте активность фоновых процессов, при частом обращении к сетевым интерфейсам неподходящих для этого приложений — проверьте смартфон антивирусом.

4. Не устанавливайте приложения из непроверенных источников.

5. Не теряйте и не оставляйте смартфон в людных местах — как средство доступа к данным он может принести куда большую выгоду, вернувшись в ваши руки.

(5.00 из 5)

Николай Маслов

Инженер-пилотажник, аудитор, физик и музыкант. Рассказываю просто о сложной технике, ловлю новые тренды и учу экономить на гаджетах.

Как в 3d сделать неон в 762
Одежда 22
Ответы как набрать петли на бросовую нить при вязании на спицах
Одежда 759
Сказочный бабушкин квадрат: схемы, виды, модели Уют и тепло моего дома
Одежда 53
Одежда 41
Одежда 88
Одежда 16
Одежда 43
Одежда 62
Одежда 82
Одежда 4

Похожие статьи