Skimming

Summary

O Skimming é uma técnica de fraude bancária que consiste em copiar ou capturar os dados de um cartão bancário sem o conhecimento ou autorização do titular.

Como funciona o Skimming?

Imagina que vais levantar dinheiro numa caixa multibanco.

O ataque pode funcionar da seguinte forma:

  1. Um criminoso instala um dispositivo chamado skimmer no leitor de cartões da caixa multibanco.
  2. Quando introduzes o cartão, o dispositivo copia os dados da banda magnética.
  3. O criminoso pode utilizar uma câmara escondida ou outro mecanismo para capturar o PIN.
  4. Com os dados recolhidos, tenta criar um cartão falsificado.
  5. Os dados podem ser utilizados para realizar operações fraudulentas, especialmente em sistemas que ainda aceitam banda magnética.

Que dados podem ser capturados?

Dependendo da técnica utilizada, podem ser capturados:

Dado Significado Utilização
PAN Primary Account Number Número do cartão.
Validade Expiry Date Data de validade do cartão.
Track 1 / Track 2 Dados da banda magnética Informação utilizada para reproduzir dados da banda magnética.
PIN Personal Identification Number Código secreto do titular, se também for capturado.
Note

O skimming tradicional captura sobretudo dados da banda magnética. Não significa necessariamente que o atacante consiga extrair as chaves secretas armazenadas no chip EMV.

Como o EMV ajuda a prevenir o Skimming?

A tecnologia EMV foi desenvolvida para aumentar a segurança relativamente aos cartões tradicionais de banda magnética.

Tecnologia Proteção
Chip EMV Utiliza operações criptográficas para autenticar transações.
ARQC Gera um criptograma específico para cada transação.
Unpredictable Number Introduz um elemento dinâmico na operação.
ATC Permite acompanhar a sequência de transações realizadas pelo cartão.
DDA / CDA Permitem autenticar dinamicamente o cartão.

Mesmo que um criminoso consiga copiar os dados da banda magnética, não consegue necessariamente reproduzir o funcionamento criptográfico do chip original.