Skimmen is tegenwoordig steeds vaker in het nieuws. Logisch, want in 2009 werden er op meer dan 400 betaal – en geldautomaten pinpassen geskimd (zie jaarverslag Currence). Maatregelen kunnen daarom niet uitblijven.

Skimmen: hoe doe je dat?

Skimmen houdt in dat de magnetische strip op de pinpas wordt gekopieerd en de pincode afgekeken. Skimmers kunnen dit op allerlei manieren doen, maar een bekende methode is het gebruik van een vals opzetstuk.

Het ‘nepfrontje’ bevat een apparaatje dat de magnetische strip op de pas kan lezen en kopiëren. De software registreert vervolgens de gegevens van de kaart en het tijdstip waarop gepind is. Die gebruiken de skimmers later om de goede pincode aan de kaart te koppelen.

h4. Skimapparaat ontleed In december 2008 ontdekte Paul Wiegmans op het station van Alkmaar een skimapparaat. Hij analyseerde het en zag een ingenieus systeem. Het apparaat bestond uit twee platen: eentje voor de invoergleuf en één eronder (zie roodomlijnde platen in de afbeelding). De onderste plaat bevatte een minicamera, precies gericht op het toetsenbord, waarmee de pincode eenvoudig werd afgekeken. Achter de invoergleuf zat een magnetische leeskop. Deze leeskop las de gegevens van elke pinpas direct bij het invoeren. En de stroom voor dit alles? Die kwam van een accu uit een Nokia telefoon!

Paul Wiegmans

Tegen een nepfrontje op een geldautomaat hebben banken al wel wat bedacht, namelijk een éigen extra frontje. Door zo’n veiligheidsfrontje is het voor criminelen moeilijker om kaartlezers te plaatsen. Helaas is ook dit extra frontje vaak weer te na maken (zie De Volkskrant).

De ‘Veilige Pasinvoer’ van de NS heeft het aantal skimincidenten al flink teruggedrongen (zie NRC).

NS

Skimmers hebben allerlei trucjes om je pincode in handen te krijgen. Ze proberen ‘over je schouder mee te kijken’ of installeren een camera. Soms is er zelfs een soort ‘touchpad’ op de toetsen van het pinapparaat aangebracht, zodat je pincode direct bij het intypen wordt opgeslagen. Als ze ook de tijd onthouden waarop je de code intoetste, is makkelijk uit te vinden welke kaartgegevens bij de pincode horen. En klaar is de skimmer!

Het nieuwe pinnen

Om de pinpas veiliger te maken, wordt de magnetische strip afgeschaft: straks heeft iedere pas een EMV-chip. Dit is een chip die voldoet aan een set strenge regels en richtlijnen (de EMV-standaard) die de betalingsmaatschappijen Europay, MasterCard en Visa hebben opgesteld. Vandaar ook de naam.

De EMV-standaard stamt al uit 1998 en veel Europese landen zijn sindsdien al overgestapt. Nederland zou oorspronkelijk pas volgen in 2014, maar door het grote aantal skim-gevallen wordt de overstap versneld. Nu is de planning dat vanaf 2012 het nieuwe pinnen een feit is en alleen nog maar gebruik wordt gemaakt van passen met de chip. Het einde van de magnetische strip is dus in zicht.

Vrijwel elke credit card is al voorzien van een chip. Ook kennen we de chip van de Chipknip, die we al sinds 1996 gebruiken.

paweesit via CC BY-ND 2.0

paweesit via CC BY-ND 2.0

Strip of chip: wat maakt het uit?

De nieuwe chip moet skimmen gaan voorkomen, maar hoe gaat hij dat doen? Eigenlijk is dat heel simpel: door anders te zijn!

Het grote verschil tussen de magnetische strip en de chip is dat deze laatste voor zichzelf kan denken. Het is eigenlijk een klein minicomputertje, waardoor hij vrijwel niet te kopiëren is. Het ‘denkmechanisme’ betekent ook dat de chip niet alleen informatie kan opslaan, maar ook berekeningen kan uitvoeren. Dit is heel belangrijk, want hierdoor kan hij alle gegevens goed beveiligen door middel van versleuteling.

Op de magnetische strip staat de informatie ook wel in versleutelde vorm, maar deze kan nooit veranderen. In geval van een chip kan dit wél. Telkens wanneer een pinapparaat de gegevens op de pas nodig heeft, vraagt het apparaat of de chip de gegevens wil versleutelen en overhandigen.

Vragen om informatie

Bij het pinnen met de chip bestaat elke pintransactie uit drie fases waarin informatie heen en weer wordt gestuurd. De stappen in elke fase zie je in onderstaand plaatje; de uitleg vind je eronder.

In de eerste fase wordt de kaart gecontroleerd: bij welke bank hoort hij en is de data op de kaart wel authentiek? Het pinapparaat vraagt hiervoor de gegevens van de kaart op. Hierbij zit ook een speciaal certificaat, wat het apparaat kan vergelijken met een origineel. Als deze check goed gaat, vraagt hij om de pincode.

De tweede fase is het controleren van de gebruiker. Dit wordt gedaan aan de hand van de ingetypte pincode. Pin je bij een offline pinautomaat (zoals in sommige winkels), dan wordt de ingevoerde code naar de pinpas gestuurd. Daar vergelijkt de chip de code met wat er opgeslagen staat. Bij een online apparaat (zoals een geldautomaat ‘in de muur’) gaat de code naar de bank om dáár gecheckt te worden. Zegt de chip of de bank dat de code klopt, dan mag de transactie verder gaan.

Ten slotte wordt in de derde fase de transactie zelf gecontroleerd. Hiervoor vraagt de pinautomaat aan de chip op de pas om alle gegevens over de transactie te versleutelen. De versleutelde informatie wordt vervolgens naar de bank verstuurd, die controleert of de transactie mag plaatsvinden (staat er bijvoorbeeld wel genoeg geld op je rekening?). De bank stuurt zijn bevindingen naar het pinapparaat en deze stuurt het weer door naar de pas. Als de bank akkoord was, stuurt de pas nogmaals de versleutelde transactiegegevens naar het pinapparaat, maar dit keer met een extra certificaat. Hierin staat dat de transactie mag plaatsvinden. Deze informatie stuurt het pinapparaat ook door naar de bank, zodat zij de transactie ook kunnen opslaan.

Dit schema is eigenlijk een ‘basisschema’. Er zijn namelijk meerdere variaties mogelijk: de banken mogen zelf kiezen welke methodes ze precies gebruiken. Als ze zich maar houden aan de EMV-standaard, want dat zorgt ervoor dat alle betalingen veilig verlopen.

Nog een mogelijkheid: zonder contact

Wanneer je de nieuwe chip gaat gebruiken, schuif je de pas niet meer door een gleuf, maar steek je hem in het apparaat als een Chipknip. Maar het kan op nog een andere manier. Er is namelijk ook een versie waarbij je de pas alleen maar in de buurt van het pinapparaat hoeft te houden, zonder contact te maken. ABN Amro heeft al een test gedaan met een soortgelijk systeem, maar alleen voor kleine bedragen en zonder pincode (zoals met de ov-chipkaart).

Een contactloze versie mét pincode kan echter ook. Het EMV transactieschema (zie de vorige afbeelding) blijft daarbij vrijwel gelijk, er wordt nog steeds data heen en weer gestuurd. Het gebeurt nu alleen op een andere manier, namelijk met radiogolven. Die gebruikt de kaartlezer om de chip van energie te voorzien en om de informatie ‘in te verpakken’. Net als bij de radio eigenlijk, waar de gegevens worden overgebracht door de variatie in amplitude (AM) of frequentie (FM). Maar natuurlijk zijn ook hier weer strenge regels voor bedacht, zodat het signaal niet zomaar afgeluisterd kan worden.

Lees meer over het beveiligen van betalen op Kennislink:

Oeps: Onbekende tag `feed’ met attributen {"url"=>"https://www.nemokennislink.nl/kernwoorden/chipknip/encryptie/index.atom?m=of", “max”=>"10", “detail”=>"minder"}