RFID-skimmaus

RFID-skimmaus on menetelmä, jolla laittomasti kerätään jonkun maksukortin tai muun RFID-tekniikkaa käyttävän laitteen (kuten kulkukortin) tietoja.

Huhut RFID-skimmausten yleisyydestä juontavat juurensa Yhdysvalloista, jossa tehtiin vuonna 2014 lähes puolet maailman luottokorttihuijauksista. Yhdysvalloissa käytettiin turvatonta magneettijuovateknologiaa vielä tuolloin yleisesti. Mastercard ja Visa ilmoittivat helmikuussa 2014 siirtyvänsä kaikkialla maailmassa käyttämään EMV-siruteknologiaa ja sopivat, että niiden yhdysvaltalaisissa korteissa otettaisiin käyttöön turvallinen EMV-siruteknologiaa vuoden 2015 lokakuuhun mennessä. Euroopassa sitä on käytetty vuodesta 1992. Suomessa Finanssialan Keskusliitto  (nyk. Finanssiala ry) asetti huhtikuussa 2012 siirtymäsuunnitelman, jonka mukaan Suomessa siirrytään vuoden loppuun mennessä käyttämään SEPA-maksukortteja, joissa on kaikissa EMV-siru .

 Miten RFID-skimmaus tehdään 
Suomessa ja muualla Euroopassa lähimaksamiseen käytetään sirukorttia, jossa on sisäänrakennettu NFC-siru, joka lähettää korttien tiedot langattomasti. Jotta tätä teknologiaa voisi käyttää varastamaan NFC-sirulliselta lähimaksuominaisuudella varustetulta maksukortilta rahaa, varkaan tulisi hankkia itselleen korttimaksupääte ja rekisteröidä se.

Lähimaksuominaisuudella varustetut korttimaksupäätteet on sertifioitu siten, että pääte saa luettua maksukortin korkeintaan neljän senttimetrin etäisyydeltä. Tehokkaalla laitteella lähimaksuominaisuudella varustetun kortin pystyy skimmaamaan jopa metrin päästä, mutta tähän vaadittava laite vie paljon tilaa. Saadakseen korttimaksupäätteen toimimaan siten, että sille pystyy siirtämään rahaa, korttimaksupäätteen omistajan ja pankin välillä tulee olla korttitilityssopimus. Korttitilityssopimuksen myötä maksun saajan nimi ja tilinumero tulevat maksujen välittäjän ja pankin tietoon, mistä syystä RFID-skimmausta ei voi tehdä jäämättä kiinni.

Skimmaamalla ei voi saada selville maksukortin CVV-koodia, jota jotkin verkkokaupat vaativat maksutapahtuman suorittamiseen. Toisaalta osa verkkokaupoista ei vaadi CVV-koodia, vaan maksutapahtuma onnistuu niissä pelkästään syöttämällä korttinumeron ja kortin voimassaolopäivän.

Nykyaikaisilla maksukorteilla on sisäänrakennettu siru, joka lähettää korttien tiedot langattomasti. Tämä on välttämätöntä lähimaksamiselle, jonka suosio on vain kasvanut viime vuosina. Rikolliset voivat hyödyntää tätä uutta teknologiaa käyttämällä skanneria, joka skannaa uhrin maksukortin samalla tavoin kuin maksupääte skannaa sen normaalin maksun suorittamisen yhteydessä.

 Myytti 
Yleinen myytti, jota kortinmyöntäjät mainitsevat usein on, että rikollinen voi vain varastaa sen mitä etämaksuna korkeintaan voi maksaa. Tämä summa on yleensä 30-100 dollarin välillä ja vaihtelee maittain. Tämä on osoitettu virheelliseksi tiedoksi brittiläisen kuluttajalehti Which?:n testissä. Testissä he onnistuivat etävarkauden kautta hankkimaan maksukorttitietoja ja tekemään yli 3 000 punnan arvoisen verkkokauppaostoksen.

 Esiintyvyys 
Vuonna 2017 lähimaksuja tehtiin Suomessa yli kaksi kertaa edellisvuotta enemmän ja kaikkien lähimaksujen osuus kaikista korttimaksuista oli 23 prosenttia. Vuoteen 2017 mennessä  Suomessa toimivien pankki-, vakuutus- ja rahoitusalan yhtiöiden etujärjestö Finanssiala ry:n (ent. Finanssialan Keskusliitto) tietoon ei kuitenkaan ole tullut yhtään petosta, joka olisi tehty lähimaksuominaisuutta hyödyntämällä.

Digital Trends -verkkosivusto selvitti maaliskuussa 2019 julkaistua RFID-skimmausta käsittelevää juttuaan varten, oliko Yhdistyneessä kuningaskunnassa tai Yhdysvalloissa esiintynyt varmistetusti RFID-skimmaustapauksia. Yhdistyneessä kuningaskunnassa ei pankkialan toimialajärjestö UK Financen mukaan ole varmistettu yhtään tapausta eikä yhdysvaltalaisen maksupetosten uhreja tukevan epäkaupallisen Identity Theft Resource Center -organisaation mukaan myöskään Yhdysvalloissa. Vaikka RFID-skimmaus on teknisesti mahdollista, todellisuudessa riski on varsin teoreettinen.

 Metodit RFID-skimmauksen estämiseksi 
RFID-skimmauksen voi estää useilla keinoilla, minkä lisäksi koko maksukortin NFC-siru on mahdollista tehdä lukukelvottomaksi. Monilla pankeilla on valikoimissaan maksukortteja, joissa ei ole NFC-sirua ja joita ei siten voi käyttää lähimaksamisessa.

 RFID-sirun tekeminen lukukelvottomaksi 
Maksukortin RFID-siru on mahdollista tehdä pysyvästi lukukelvottomaksi useilla tavoilla. RFID-kortti menee viidessä sekunnissa lukukelvottomaksi mikroaaltouunissa. Maksukortin mikrotus kuitenkin aiheuttaa tulipalovaaran ja saataa tehdä vahinkoa myös muuhun osaan maksukorttia kuin RFID-siruun. Maksukortin sirun voi tehdä lukukelvottomaksi myös lävistämällä se terävällä esineellä, mutta tällöin pitää tietää sirun tarkka paikka. Antennin leikkaaminen hyvin läheltä sirua estää sitä saamasta sähköä eikä siru siten kykene välittämään signaaleja. Molemmat näistä tekniikoista kuitenkin aiheuttavat pientä näkyvää vahinkoa.

 Kääriminen alumiinifolioon 
Suojaus on mahdollista tehdä käärimällä maksukortti alumiinifolioon. Alumiinifolio kuitenkin kuluu yleensä nopeasti.

 Usean NFC-kortin pitäminen päällekkäin 
Pitämällä montaa NFC-sirua käyttävää korttia päällekkäin yksittäisen kortin lukeminen on hankalaa tai jopa mahdotonta.

 Valmiit suojat 
RFID-skimmausten estämiseksi on olemassa myynnissä monenlaisia valmiita suojia, kuten väitetysti RFID-skimmauksen estäviä lompakoita, kukkaroita, suojakortteja ja jopa RFID-skimmaussuojauksen sisäänrakennetusti sisältäviä farkkuja, joiden valmistaminen on useiden miljoonien dollarien bisnes. Osa maksukorttien RFIM-skimmauksen estämiseen tarkoitetuista lompakoista ja muista varusteista on kuitenkin osoittautunut joissain testeissä vähemmän luotettavaksi tavaksi torjua RFIM-skimmaus kuin kortin kääriminen alumiinifolioon.

 Lähteet 

Aiheesta muualla
Edward Shaw (22.2.2018) What Is RFID Skimming?  (tripwire.com)
RFID credit card skimming on Fox News (1.12.2010)  (youtube.com)
Nicole Bogart (24.4.2013) Smartphone app that allows credit card skimming ‘real risk’ to consumers: experts   (globalnews.ca) 
Perttu Pitkänen (14.5.2013) Nixu testasi: nfc-maksukorttien suojauksessa vakava puute (is.fi)
Andra Andrioaie (30.6.2021) NFC Vulnerabilities Expose ATMs to Threat: a New Experiment Shows System Flaws  (heimdalsecurity.com)

Luokka:Maksukortit
Luokka:Omaisuusrikokset