Attaques matérielles physiques : survivre aux écumeurs de distributeurs automatiques de billets et de pompes à essence
Dans le domaine des finances personnelles, les consommateurs consacrent beaucoup d’énergie à protéger leurs mots de passe numériques, à éviter le phishing par courrier électronique et à geler les fichiers des agences d’évaluation du crédit.
Cependant, l’un des vecteurs d’attaque les plus répandus et les plus dévastateurs financièrement ne nécessite aucune compétence en matière de piratage logiciel :Écrémage des cartes de point de vente physique (POS).
Les syndicats du crime organisé déploient chaque année des centaines de milliers de dispositifs spécialisés de piratage de matériel physique à travers les États-Unis. Installé en quelques secondes sur des lecteurs de cartes de vente au détail sans surveillance, principalement àpompes à essence extérieures, guichets automatiques autonomes, parcomètres et terminaux de paiement de dépanneurs: ces appareils capturent les données de la bande magnétique, interceptent les communications par puce et enregistrent votre code PIN de débit confidentiel.
Pire encore, lorsqu'un criminel clone votreCarte de débit, ils drainent les réserves de trésorerie réelles de votre compte courant, vous laissant incapable de payer votre loyer ou de faire vos courses tout en luttant contre un litige bancaire de plusieurs semaines.
Voici comment fonctionnent les skimmers et les « shimmers » modernes, comment détecter physiquement les terminaux falsifiés et pourquoi les cartes de crédit constituent votre bouclier physique ultime.
L'évolution : écumeurs vs scintillants à insertion profonde
Pour défendre vos comptes, vous devez comprendre les deux classes mécaniques d'interception matérielle :
1. L’écumeur externe traditionnel
Un skimmer externe est une coque en plastique moulée pour s'adapter parfaitement au véritable lecteur de carte d'un guichet automatique ou d'une pompe à essence.
- À l’intérieur de la coque se trouvent une minuscule tête de lecture magnétique, une puce de mémoire flash et une pile bouton.
- Lorsque vous glissez ou insérez votre carte, les données de la bande magnétique sont enregistrées lors de leur passage à travers le faux boîtier vers le véritable terminal.
- Capture du code PIN: Les criminels capturent votre code PIN à l'aide d'unsuperposer un faux clavierplacé directement sur les touches numériques réelles, ou via uncaméra à micro-sténopédéguisé en porte-brochures suspendu ou en miroir dirigé vers le clavier !
2. Le cauchemar moderne : des « chatoyants » à insertion profonde
Alors que les États-Unis passaient des bandes magnétiques àCartes à puce EMV, les criminels se sont adaptés en inventant leChatoyant:
- Un miroitement est un circuit imprimé ultra-mince et micro-conçu en polyimide flexible (à peu près l'épaisseur d'un cheveu humain).
- Les criminels glissent le miroitement directement dans la gorge interne d'un lecteur de puce EMV officiel à l'aide d'un outil d'installation.
- Il se situe entre la puce physique de votre carte de crédit et les contacts internes du lecteur du guichet automatique, interceptant les données transactionnelles non cryptées lors de l'insertion de la carte !
- Parce que les reflets se trouvententièrement à l'intérieur de la machine, l'extérieur du guichet automatique semble 100 % authentique !
Lieux à haut risque : là où se cachent les écumeurs
Les criminels ciblent les terminaux dépourvus de surveillance humaine directe :
- Pompes à essence extérieures (la cible n°1 en Amérique):
- Les pompes à essence sont à l’extérieur, ouvertes 24h/24 et 7j/7 et souvent non surveillées.
- Les criminels utilisent des clés universelles achetées en ligne pour ouvrir le boîtier interne de la pompe en 15 secondes, en connectant le matériel d'écrémage interne directement à la carte mère de la pompe !
- *Pompe présentant le risque le plus élevé* : La pompe la plus éloignée de la vitrine du dépanneur (masquée du champ de vision du caissier).
- Distributeurs automatiques bancaires et non bancaires autonomes:
- Distributeurs automatiques indépendants situés dans des dépanneurs faiblement éclairés, des stations-service, des discothèques et des zones touristiques.
- Kiosques de stationnement automatisés et distributeurs automatiques de transports en commun.
Le protocole d'inspection physique en 5 secondes
Avant d'insérer votre carte dans un terminal de paiement extérieur ou un guichet automatique autonome, effectuez cette inspection physique :
- Le « test de remue-méninges »: Saisissez fermement le boîtier en plastique du lecteur de carte avec vos doigts et tirez-le vigoureusement et tournez-le.
- Le véritable matériel du guichet automatique bancaire est boulonné dans de l'acier massif ; ça ne bougera jamais.
- Si le lecteur de carte bouge, se déplace, semble lâche ou présente des résidus de colle silicone sur les bords,c'est un skimmer superposé ! N'insérez pas votre carte.
- Examinez le clavier: Appuyez sur les bords du pavé numérique. Si le clavier est spongieux, surélevé ou inhabituellement épais, il s'agit probablement d'une membrane superposée enregistrant vos frappes.
- Recherchez les caméras sténopé: Regardez directement au-dessus du clavier ou le long du toit en plastique du guichet automatique. Recherchez de minuscules trous de la taille d’une aiguille ou des moulures en plastique non alignées destinées aux touches.
- Vérifiez le sceau de sécurité de la pompe à carburant: La plupart des stations-service modernes placent du ruban de sécurité inviolable rouge ou bleu sur la porte de l'armoire. Si la bande dit"NUL", est déchiré ou semble réparé, quelqu'un a ouvert l'ordinateur interne de la pompe !
La règle fondamentale : ne jamais effectuer de débit à une pompe à essence
La règle la plus efficace pour éliminer le risque d’écrémage est simple :
NE JAMAIS INSÉRER OU GLISSER UNE CARTE DE DÉBIT DANS UNE POMPE À ESSENCE EXTÉRIEURE OU UN GAB INDÉPENDANT !
Pourquoi les cartes de débit sont dangereuses :
- Si un criminel vole votre numéro de carte de débit et votre code PIN, il peut cloner une carte physique en plastique etretirer tout l'argent de votre compte courant en quelques heures!
- Bien que le règlement fédéral E limite votre responsabilité si vous le signalez rapidement, la banque prend en charge10 à 45 jours ouvrables pour enquêter et restituer votre argent volé. Pendant que l’enquête est en cours, votre chèque hypothécaire est sans provision, votre loyer est impayé et vous faites face à une grave pénurie de liquidités !
- En vertu de la Fair Credit Billing Act,les cartes de crédit utilisent l'argent de la banque. Si un skimmer clone votre carte de crédit, vous le signalez dans votre application, payez 0 $ et votre compte courant personnel reste totalement intact ! Apprenez vos droits dans Droits de rétrofacturation des cartes de crédit par rapport à la loi sur la facturation équitable du crédit .
La défense technique ultime : Tap-to-Pay (portefeuilles sans contact/mobiles)
La plus grande défaite technologique du matériel d'écrémage estTap-to-Pay sans contact (cartes sans contact Apple Pay, Google Pay ou RFID)!
Pourquoi les paiements sans contact NE PEUVENT PAS être écrémés :
- Les paiements sans contact ne passent pas par la fente physique de la carte, ce qui rend les skimmers magnétiques et les miroitements internes totalement inutiles.
- Chaque fois que vous appuyez sur votre téléphone ou votre carte sans contact, la puce NFC génère unjeton cryptographique crypté unique et unique.
- Même si un criminel intercepte le signal sans fil à l’aide d’un équipement radio de qualité militaire, ce jeton intercepté ne pourra jamais être réutilisé pour une autre transaction !
- Dans la mesure du possible,appuyez toujours sur votre téléphone ou votre carte au lieu de l'insérer dans la fente.
Lectures connexes et sécurité physique
- Droits légaux contre la fraude : Droits de rétrofacturation des cartes de crédit par rapport à la loi sur la facturation équitable du crédit .
- Réponse immédiate en cas de violation : Fraude à la carte de crédit ou vol d'identité complet : protocole d'une heure .
- Défendre les transactions numériques : Numéros de carte de crédit virtuelle : protection de la vie privée et abonnements .
- Choisissez des comptes chèques sécurisés : Éviter de vérifier les frais de tenue de compte .
