"Clonagem" de Chips de Cartão no Brasil?
Autor: Chris Amon | Publicado: 2014-11-19T14:23:00-03:00


MONDAY, NOVEMBER 17, 2014








No Fantástico deste Domingo foi ao ar uma matéria sobre a prisão de uma "Quadrilha usa bluetooth para clonar cartões de chip e movimenta milhões&nbsp;- Grupo adulterava máquinas de restaurantes de luxo e transferia dados entre aparelhos. Golpe inédito garantia gastos com boates, carros e imóveis de luxo".Veja a reportagem no link a seguir:http://g1.globo.com/fantastico/noticia/2014/11/quadrilha-usa-bluetooth-para-clonar-cartoes-de-chip-e-movimenta-milhoes.htmlInformações oficiais da Polícia Civil do RJ:http://www.policiacivil.rj.gov.br/exibir.asp?id=19651"Segundo o delegado Rodrigo Freitas, titular da DAIRJ, desde fevereiro a quadrilha movimentou aproximadamente R$ 3,5 milhões. "&nbsp;Nunca houve esse tipo de metodologia. Há indícios de que a quadrilha conseguiu, pela primeira vez, captar os dados do chip do cartão das vítimas.&nbsp;É uma ação muito sofisticada", disse o delegado.De acordo com Rodrigo Freitas, eles colocavam o dispositivo, que não era visível por fora, dentro da máquina, e o recurso tecnológico captava os dados do chip do cartão por celular, notebook ou tablet. "Enquanto a vítima inseria o cartão no caixa eletrônico,&nbsp;um dos integrantes ficava próximo como se estivesse usando o celular ou laptop. Na verdade, estava captando os dados da vítima".A quadrilha também comprava "cartões virgens" pela internet e imprimia com o nome de um deles, mas os dados internos do cliente lesado. De acordo com o delegado, a investigação começou quando a polícia percebeu a forma de ação da quadrilha. Os criminosos agiam na madrugada das terças e quintas - dias de desembarques internacionais -, com foco nos caixas eletrônicos do Aeroporto Internacional Tom Jobim.&nbsp; O objetivo era atuar contra turistas estrangeiros e fraudar cartões internacionais."Há alguns meses, estrangeiros que vieram ao Brasil com seus cartões "com chip" foram vítimas de fraude e há documentação de várias fontes citando o problema. Uma leitura recomendada é o blog do&nbsp;Brian Krebs- de três semanas atrás:‘Replay’ Attacks Spoof Chip Card Charges:http://krebsonsecurity.com/2014/10/replay-attacks-spoof-chip-card-charges/Alguns trechos relevantes:"Avivah Litan, a fraud analyst with Gartner Inc., said banks in Canada saw the same EMV-spoofing attacks emanating from Brazil several months ago. One of the banks there suffered a fairly large loss, she said, because&nbsp;the bank wasn’t checking the cryptograms or counters on the EMV transactions.""MasterCard officials explained that the&nbsp;thieves were probably in control of a payment terminal&nbsp;and had the ability to manipulate data fields for transactions put through that terminal. After capturing traffic from a real EMV-based chip card transaction, the thieves could insert stolen card data into the transaction stream,&nbsp;while modifying the merchant and acquirer bank account on the fly."A técnica - que&nbsp;depende da utilização de uma máquina de leitura de cartões adulterada&nbsp;e da&nbsp;implementação insegura de mecanismos de segurança das transações feitas utilizando o chip&nbsp;e é uma das descritas neste excelente paper da Universidade de Cambridge sobre "Skimming" de cartões com chip:"Chip and Skim: cloning EMV cards with the pre-play attack."http://www.cl.cam.ac.uk/~sjm217/papers/oakland14chipandskim.pdf