YES-card
Summary
O YES-card (também chamado Yes Card) é um tipo de cartão [EMV] falso ou clonado, associado a uma técnica de fraude que explora uma vulnerabilidade dos primeiros cartões com chip, especialmente os que utilizavam apenas SDA (Static Data Authentication).
Como funciona o ataque?
- O chip continha dados estáticos e uma assinatura digital do emissor.
- Um atacante copiava esses dados e a assinatura para um cartão falso.
- O cartão falso podia apresentar ao terminal uma autenticação SDA aparentemente válida.
- O cartão podia ser programado para aceitar qualquer PIN, respondendo que a verificação tinha sido bem-sucedida.
O problema era que o SDA verificava uma assinatura sobre dados estáticos. Não demonstrava, por si só, que o cartão físico era o chip original.
Exemplo prático
Imagina uma compra de 100 €:
- O cliente utiliza um cartão EMV legítimo.
- Um atacante copia os dados estáticos e a assinatura SDA.
- Cria um cartão falso com esses dados.
- Introduz o cartão falso no POS.
- O POS verifica a assinatura SDA e considera os dados estáticos válidos.
- O cartão falso indica que o PIN está correto, mesmo que tenha sido introduzido um PIN errado.
Se a transação for autorizada offline, poderá existir uma oportunidade para a fraude ter sucesso.
Numa transação online, o emissor pode detetar a fraude ao verificar o criptograma da transação (ARQC), porque o cartão falso não possui necessariamente as chaves secretas necessárias para gerar um criptograma válido.