TIETOTURVA
Johanna Puustinen, Tietoviikko, 15.2.2010, 14:08Eurooppalaisista maksukorteista löytyi pöyristyttävä turva-aukko
Cambridgen yliopiston tutkijat ovat havainneet satoja miljoonia eurooppalaisia maksukortteja koskevan turva-aukon, joka mahdollistaa ostotapahtumat varastetulla kortilla.
Haavoittuvuus on emv-sirukorteissa, joiden maksutapahtumien vahvistamiseen käytetään pin-koodia.
Emv-korteissa oleva vika mahdollistaa varastettujen korttien käytön satunnaisen pin-koodin avulla ennen kuin pankki sulkee kortin, tutkijat kertovat blogissaan. Rikollisen ei tarvitse tietää kortin pin-koodia, vaan vian vuoksi tunnukseksi kelpaa vaikkapa 0000.
Käytännössä vika aiheuttaa sen, että maksupääte kuvittelee käyttäjän näppäilleen oikean pin-koodin ja hyväksyy maksutapahtuman. Rikollinen kuitenkin tarvitsee erillisen laitteen, johon maksutapahtumassa käytetty kortti on kytketty. Laitteen avulla rikollinen hämää maksupäätettä luulemaan, että syötetty pin on oikea. Tutkijoiden mukaan hyökkäyksessä tarvittava laitteisto on helposti saatavilla, eikä hyökkäyksen toteuttamiseen tarvita korkeaa teknistä osaamista.
Tutkijat korostavat, että turva-aukko ei kuitenkaan mahdollista varastetun kortin käyttöä pankkiautomaateilla eikä korteilla, jotka pankki on sulkenut käyttäjän ilmoitettua kortti varastetuksi. Ongelma liittyy siis ostotapahtumiin, jotka tapahtuvat ennen kuin kortti ehditään ilmoittaa varastetuksi.
Pankit eivät kiistä ongelmaa
Tutkijat pitävät ongelmaa vakavana, sillä siihen liittyy oikeudellisia vastuukysymyksiä. Kuluttajan voi olla vaikea todistaa maksutapahtumaa virheelliseksi, jos maksupääte tulkitsee sen pin-koodilla vahvistetuksi. Pankit voivat pitää kuluttajaa vastuussa varastetulla kortilla tehdyistä maksutapahtumista, jotka on hyväksytty näppäilemällä pin-koodi, sillä pankkien mukaan kortin käyttö on mahdotonta ilman oikeaa pin-koodia.
Cambridgen yliopiston tutkijoiden Chip and PIN is broken -tutkimusraportti on kokonaisuudessaan luettavissa yliopiston verkkosivuilta (pdf).
Tutkijoiden löydökset ovat olleet pankkialan tiedossa jo pari kuukautta.
Neljä suurta brittipankkia totesi, että ongelma ei kosketa vain yhtä pankkia, vaan koko alaa. Lisäksi pankit kehottivat emv-korttien haavoittuvuudesta kertovan televisiodokumentin tekijöitä kääntymään maksutapahtumia välittävän yhtiön puoleen.
"Emme koskaan väittäneetkään, että kortin ja pin-koodin yhdistelmä olisi täysin pettämätön", brittiläisen maksutapahtumia välittävän UK Paymentsin edustaja totesi Computerworldille.
laillisesta haltijasta...
Olen samaa mieltä. Nigeriasta tulee eniten tilinlainaus-emaileja. Korttien väärinkäytöstä voitaisiin piirtää jonkinlainen maailmankartta, jossa violetilla värillä näytetään ne alueet, missä käytetään eniten väärin maksukorttitietoja ja keltaisella ne, joissa käytetään vähiten. Saataisiinkohan Suomi maailmankartalle taas hyvässä vai pahassa?
Ilmoituksesi käsitellään seuraavan työpäivän kuluessa.