Форум

PayPass/PayWave

Проблемы при бесконтактной оплате

  • 1
Приключилась ситуация, которая поднимает вопрос безопасности бесконтактной оплаты.
Вчера расплачивался в очередной раз в магазине картой ПСБ по PayPass, расплатился, уехал. Через 10 минут приходит вторая смс, уже на другую сумму, то есть это не дубль моей покупки. Карта у меня, её не терял, не оставлял.
Зашел в магазин сегодня, дабы разобраться в ситуации. Подняли чек второй, номер карты указан моей. ПСБ подтвердил, что авторизация есть, под другим номером авторизации.
Покупатель, чья это была покупка, тоже расплачивался картой, но её прокатывали полосой.
Собственно, что это было?! smile:o Суммы понятно небольшие, т.к. PayPass, но я не подписывался на оплату чужих покупок.
Терминал Сбера, подозреваю его. Операции пока в авторизации, но сомнений, что операция спишется, особо нет.
 
Цитата
Varus пишет:
Терминал Сбера, подозреваю его.
А продавца не подозреваете? Сегодня с тем же самым общались или другим?

Попытка анализа версии, что это крутые мошенники Вас смогли обуть...
Бесконтактные карты: мнимая уязвимость
Цитата
Очевидно, клонировать карту по чипу невозможно, поскольку для этого необходимо знать ключи карты, которые атакующим неизвестны. Клонировать карту по магнитной полосе также получится с очень невысокой вероятностью, поскольку мошенникам из перехваченных данных известны только номер карты и срок ее действия. Значения CVC/CVV через бесконтактный интерфейс не передаются, да и они по правилам МПС больше не совпадают с данными CVV/CVC на магнитной полосе. Поэтому эти значения атакующим неизвестны, а вероятность их угадывания невелика (равна 10-3). Напомним читателю, что по правилам платежных систем все операции по магнитной полосе микропроцессорной карты должны быть обработаны в режиме онлайновой авторизации, так что без знания значений CVC/CVV для магнитной полосы мошенникам не обойтись!
Цитата
В общем случае в реализации relay-атаки участвуют два мошенника. Один находится рядом с жертвой, хранящей в своем портмоне бесконтактную карту (Person 1 на рис.1), а другой – рядом с кассой магазина, в котором совершается покупка (Person 2).
Рисунок
У мошенника Person 2 имеется специальная микропроцессорная карта, поддерживающая, с одной стороны, стандартный интерфейс (контактный или бесконтактный) для работы с реальным терминалом в магазине, а с другой – радиоинтерфейс, функционирующий в соответствии с одним из коммуникационных протоколов, обеспечивающих связь на расстоянии от нескольких десятков сантиметров до нескольких метров (например, ISO 15693, ISO 18000). С помощью такого радиоинтерфейса карта может обмениваться данными со специальным оборудованием мошенника Person 2, которое, помимо поддержки связи с картой, обеспечивает организацию удаленного радиоканала (например, в соответствии с протоколом Wi-Max (IEEE 802.16) с контролируемым мошенником Person 1 бесконтактным терминалом (см. рис.1).

Дальше мошенники действуют следующим образом. Мошенник Person 2 передает кассиру для оплаты свою поддельную карту (возможно, самостоятельно касается ридера бесконтактной картой). Далее все команды терминала, установленного в реальном магазине, через карту мошенника Person 2, его специальное оборудование и мошеннический терминал Person 1 транслируются реальной бесконтактной карте ничего не подозревающей жертвы. При этом ответы карты жертвы на команды реального терминала по тому же маршруту, но в обратном направлении возвращаются реальному терминалу.

Очевидно, что и обработка операции в онлайновом режиме не является помехой для успешного выполнения операции в описанной выше схеме. В этом случае в ответ на команду GENERATE AC реального терминала реальная карта сгенерирует криптограмму ARQC, которая будет возвращена терминалу реального магазина и через него передана на хост эмитента. Наоборот, ответ эмитента, содержащий Issuer Authentication Data, будет транслирован реальной карте, обслуживаемой в мошенническом терминале.

«Ломает» описанную выше схему верификация держателя карты по методу PIN Online. Но это происходит только в случае, когда размер транзакции превышает CVM Limit. Именно по этой причине описанная выше атака невозможна, если Person 2 будет пытаться применить в реальном терминале свою мошенническую карту, пользуясь контактным интерфейсом. В этом случае реальный терминал по CVM List поймет, что верифицировать держателя карты нужно по PIN Online (для контактного интерфейса никакого ограничения в виде CVM Limit не существует). Поскольку Person 2 не знает ПИН-кода жертвы, relay-атака в этом случае обречена на провал!

Организовать relay-атаку с помощью бесконтактного интерфейса карты мошенника Person 2 технически достаточно сложно: есть проблема в синхронизации действий мошенников, возникают задержки в передаче команд/ответов между реальными терминалом и картой. Поэтому наиболее реалистичной выглядит relay-атака, представляющая собой вырожденный случай, при котором магазин и мошенники сливаются в единое целое. В этом вырожденном случае реальный терминал магазина, принимающего карты платежной системы, напрямую работает с держателем бесконтактной карты, снимая со счета клиента средства за несуществующие покупки.

Несмотря на то что мошеннические магазины, с использованием оборудования которых проводятся relay-атаки, достаточно эффективно определяются платежной системой (метод CPP – Common Purchase Point), а максимальный размер операции по бесконтактной карте, которую можно совершить без авторизации держателя карты, ограничен, сама возможность выполнения операции без авторизации держателя карты подрывает доверие и пользователей, и банков к технологии бесконтактных карт.
Для жалоб и похвал банкам - Народный Рейтинг
 
Цитата
AndrewTishkin пишет:
А продавца не подозреваете? Сегодня с тем же самым общались или другим?

В целом, я не склонен думать на продавца, т.к. какой смысл связываться из-за 220 руб. Да и реакция была адекватная. Если это конечно не на потоке стоит. Но это было в области даже, где карты с PayPass у единиц.

Касса та же самая и у меня и по второй покупке была, а продавцы разные. Сегодня была та, которая проводила вторую операцию. И она собственно помнит второго покупателя и его товар.
Плюс они позвали администратора, а т.к. был день, магазин пустой, они даже сводили меня в подсобку и показали запись камер над кассой. То есть я сам видел, что и как было.

Второй покупатель передал карту на лоток для денег, продавец ее взяла в руки, повернула к себе терминал и провела полосой. Т.е. карта скорее всего без чипа была, и видимо без PP. Единственное, что показалось странным, карта была какого-то насыщенного однотонного желтого цвета, сколько с картами "общаюсь" такого цвета не встречал.
Я же, когда расплачивался, карту из рук не отпускал, сам подносил карту к терминалу. При этом терминал находится на приличном удалении от кассира, около покупателя.

И еще раз уточню, что между операциями (покупками) прошло 7 минут, и я уже был на достаточно большом расстоянии от магазина (на машине).

Так то так smile:scratch:
 
А карта не смахивает на такую? ссылка
 
Цитата
Varus пишет:
повернула к себе терминал и провела полосой. Т.е. карта скорее всего без чипа была, и видимо без PP


У меня как-то прокатывали чипованную карту с PP полосой вместо втыкания, при этом сработал всё равно PP вместо полосы.
 
Цитата
andy_rzd пишет:
А карта не смахивает на такую? ссылка

Возможно, монитор небольшой был, да и картинку не увеличивали. Но было ощущение, что штрих-кода, текста и прочих деталей не было, или было минимально, уж очень она однородного цвета была. Было ее видно только сзади, кстати, где полоса.
Да и у Кукурузы с PayPass, как я понимаю, чип еще идет, непонятно почему ее прокатывали полосой.

Цитата
_kss_ пишет:
У меня как-то прокатывали чипованную карту с PP полосой вместо втыкания, при этом сработал всё равно PP вместо полосы.

Ну такое возможно наверное, но это если очень медленно, обычно ее быстро проведут и все, а там нужно секунды то 2 подержать близко к приемнику.

Update: Обе операции пока еще в авторизации, не списаны.
 
2 секунды - это особенность терминала. Есть и такие, где меньше чем за секунду уже пикнет и даст добро чек печатать, есть которые издалека карту чувствуют, что даже близко подносить не приходится, а в других наоборот - ещё и нужно суметь нащупать место, где приёмник сигнала запрятан, обычно под экраном
Для жалоб и похвал банкам - Народный Рейтинг
 
А может всё-таки это технический сбой?
На размышления наводит статья про тестирование банками готовности к работе в условиях НСПК. Вести тестирование в находящейся в боевом режиме системе, а не в изолированной тестовой среде, конечно, это ужас, но чего только не бывает... Ну или пусть даже не связанный с НСПК, но сбой? smile:scratch:

Наверное стоит начать тормошить эмитента карты и эквайера торговой точки. Если хоть один из них заметит что-то необычное, это станет ниточкой к разматыванию клубка
Для жалоб и похвал банкам - Народный Рейтинг
 
Вот и списали вчерашним числом вторую покупку!

Цитата
AndrewTishkin пишет:
А может всё-таки это технический сбой?

Все бы ничего, если бы не второй чек с номером моей карты. Как тут доказывать, что ты не верблюд?
Тем более, насколько я понимаю, операции PayPass не оспариваются. Ладно бы была полоса/чип, а как тут с PP что-либо доказывать...
 
До 1000 руб эмитент не может оспорить у эквайера, но вы можете оспорить у банка. Для начала можно подать претензию в банк, в которой подробно рассказать все обстоятельства.
Если откажет, то можно через суд доказать, что покупку совершали не вы (есть свидетели, запись камеры), то есть деньги списаны без вашего распоряжения. Но оно вам надо из-за 220 руб?
 
Цитата
lazyranma пишет:
Если откажет, то можно через суд доказать, что покупку совершали не вы (есть свидетели, запись камеры), то есть деньги списаны без вашего распоряжения. Но оно вам надо из-за 220 руб?

Клиенту это не надо. Но это надо, в первую очередь, самому эмитенту и эквайеру, а также другим клиентам.
Но если эмитент не хочет с этим разбираться, а деньги не возвращает, то я бы поддержал позицию клиента, который готов за три рубля потратить кучу своего времени, т.е. оказаться в итоге в убытке, но заставить банк "шевелить конечностями".
Можно же посмотреть и с противоположной стороны - банку очень хочется ходить по судам из-за 220 руб.?
Если же эмитент готов молча вернуть эту сумму, то ему виднее - 200 руб. на несколько тысяч клиентов в год - это не та сумма, за которую есть смысл разбираться.
 
Тут мало того, что из-за 200 рублей ходить, писать заявление и прочее, так еще и можно попасть на комиссию за необоснованную опротестацию. Обычно такие у всех банков есть, около 1500 рублей. У ПСБ в тарифе не нашел, но надо еще уточнять, может и есть.
Скажут вот копия чека с номером вашей карты, запрос на оплату по PP был корректный и т.д. И не докажешь же, что не верблюд. А если подключать информацию с камер, то это уже надо в полицию идти, а там семь кругов ада.
Но и бросать это просто так совесть не позволяет. Потому что ситуация пугающая, с какой простотой могут списать деньги, а сделать ничего не можешь. Тут задумываешься, пользоваться ли вообще картами с PP...
Возможно придется плюнуть, но хочу написать в народный рейтинг Сберу, может все-таки разберутся с терминалом и ситуацией. Хотя и маловероятно, напишут отписку. Что быть такого не может, вероятность сбоя нулевая, у нас все ОК smile:ок:
 
А с магазином можно договориться, чтоб копию видеозаписи дали?
Наверняка они их там долго не хранят, потом уж точно не докажешь, что другому человеку какую-то карту полосой катали
Для жалоб и похвал банкам - Народный Рейтинг
 
Цитата
AndrewTishkin пишет:
А с магазином можно договориться, чтоб копию видеозаписи дали?

Попросить конечно можно... показать показали, а вот копию не факт, что дадут. Только что это даст? Потом с видео разбираться уже со Сбером?
 
Статья на Хабре:
Мои финансы – с защитой танцы

Цитата
Между тем, и законодатели, и платежные системы в этом вопросе поддерживают держателя денежных средств. Сумма платежей до 1 000 рублей, оспариваемая владельцем карты возвращается без дополнительного расследования и в кратчайшие сроки. Во многом это связанно с заинтересованностью в развитии микроплатежей и постоянном увеличении денежных оборотов. На это явно указывает и один из самых обсуждаемых принятых законов – 161-ФЗ «О национальной платежной системе». Если ранее при махинациях с банковскими картами свою невиновность приходилось доказывать владельцу скомпрометированной карты, что в российских судах чаще всего ничем хорошим не заканчивалось, то с 1 января 2014г. ситуация кардинально меняется. В соответствие со статьей 9 упомянутого закона банк обязан возместить клиенту сумму операции, совершенной без его согласия, после получения уведомления о несанкционированном переводе денежных средств. И уже только после этого приступать к расследованию инцидента. Современные системы фрод мониторинга тем не менее не дадут злоупотреблять клиентам банков правом постоянно оспаривать операции. Желающих нажиться на ложных обращениях, можно оперативно выявить.
 
Цитата
Varus пишет
Да и у Кукурузы с PayPass, как я понимаю, чип еще идет, непонятно почему ее прокатывали полосой.

А может быть это была неименная кука,у которой нет чипа?
 
Цитата
Varus пишет:
Приключилась ситуация, которая поднимает вопрос безопасности бесконтактной оплаты. Вчера расплачивался в очередной раз в магазине картой ПСБ по PayPass, расплатился, уехал. Через 10 минут приходит вторая смс, уже на другую сумму, то есть это не дубль моей покупки. Карта у меня, её не терял, не оставлял.

Удивительно, но в KFC на Аэропорту (вроде тоже терминал Сбербанка) попал в аналогичную ситуацию с картой ВТБ24. Заплатил сначала свою сумму, а через 20 минут пришла SMS о покупке на 292 рубля.

Сбербанк - это какая-то вечная жесть. Даже если платить не его картами. smile:D
 
Цитата
Varus
Вчера расплачивался в очередной раз в магазине картой ПСБ по PayPass, расплатился, уехал. Через 10 минут приходит вторая смс, уже на другую сумму, то есть это не дубль моей покупки. Карта у меня, её не терял, не оставлял.
Зашел в магазин сегодня, дабы разобраться в ситуации. Подняли чек второй, номер карты указан моей. ПСБ подтвердил, что авторизация есть, под другим номером авторизации.
Покупатель, чья это была покупка, тоже расплачивался картой, но её прокатывали полосой.
Цитата
Igor503
Удивительно, но в KFC на Аэропорту (вроде тоже терминал Сбербанка) попал в аналогичную ситуацию с картой ВТБ24. Заплатил сначала свою сумму, а через 20 минут пришла SMS о покупке на 292 рубля.

Это сочетание нескольких факторов:
- глюк терминала Сбера;
- бесконтактная транзакция в режиме MSD, за которой следует транзакция по полосе;
- некоторые эмитенты одобряют онлайновые авторизации для бесконтактных транзакций без верификации кардхолдера (<1000 руб) не проверяя криптограмму.
Изменено: slowpoke- 03.09.2016 13:58
 
Цитата
slowpoke пишет:
Это сочетание двух факторов:- глюк терминала Сбера;- некоторые эмитенты одобряют онлайновые авторизации для бесконтактных транзакций без верификации кардхолдера (<1000 руб) не проверяя криптограмму.

Так вот они какие. ) Операция прошла не с первого раза, терминал реально глючил.

Написал заявление на оспаривание. Интересно просто чем кончится. ) Если такой бред не оспаривается, то тогда вставлять явно надёжнее.
 
Цитата
Igor503
Написал заявление на оспаривание. Интересно просто чем кончится. ) Если такой бред не оспаривается, то тогда вставлять явно надёжнее.

Это явный косяк эмитента. Выставить чарджбек по такой транзакции у эмитента не получится, а без выигранных чарджбеков российские банки деньги клиентам не возвращают. Хотя с технической стороны доказать косяк эмитента легко, но для этого надо иметь данные из авторизационных сообщений, чего эмитент никогда не предоставит.
Онлайновая авторизация при контактной транзакции по чипу гораздо надежнее, так как производится взаимная аутентификация карты и эмитента и авторизация одобряется дважды - сначала эмитентом, затем картой.
Изменено: slowpoke- 03.09.2016 17:10
 
Можно начать с претензии в магазин с копией в банк-эквайер сразу.
Думаю, будет эффективнее в данном конкретном случае
Изменено: colorprint- 03.09.2016 18:34
АМТ † Холдинг-Кредит † Пушкино † МастерБанк † Евротраст † Западный † Навигатор † Софрино † Волга-Кредит † Транснациональный † Тусар † Русславбанк † Капиталбанк † Кредит-Москва † Росинтербанк † Военно-промышленный банк † Айманибанк † Югра
 
Цитата
slowpoke пишет:
Выставить чарджбек по такой транзакции у эмитента не получится, а без выигранных чарджбеков российские банки деньги клиентам не возвращают.

Вроде как опротестовать транзакцию по полосе как раз просто?
Цитата
slowpoke пишет:
Это сочетание нескольких факторов:- глюк терминала Сбера;- бесконтактная транзакция в режиме MSD, за которой следует транзакция по полосе;


Цитата
colorprint пишет:
Можно начать с претензии в магазин с копией в банк-эквайер сразу.

В сбер претензию подать? Смешно!
 
Цитата
dima_ekb
Вроде как опротестовать транзакцию по полосе как раз просто?

Из-за глюка терминала авторизационный запрос по полосе второй карты в магазине зашел к эмитенту первой карты тоже как РР в режиме MSD, только с другой суммой покупки. Эмитент должен был проверить криптограмму и на основании этой проверки отклонить запрос. Поэтому опротестовать такую транзакцию эмитенту в рамках платежной системы невозможно.

В реальности произошло следующее: к эмитенту последовательно зашли два авторизационных запроса РР в режиме MSD с одинаковыми UN и ATC, но с разными суммами покупки. И эмитент одобрил второй запрос.
Неплохая находка по картам ПСБ и ВТБ24 для мошенников. smile;)
Изменено: slowpoke- 05.09.2016 16:17
 
Деньги ВТБ24 сегодня вернул. Бывает иногда оперативным )
 
  • 1

Все продукты Банки.ру

Показать ещеСкрыть