PIN-Einlösung
Was ist PIN-Einlösung?
Das Einlösen von PINs ist eine Betrugsart, bei der die Verwendung von gestohlenen Debit- oder Kreditkarteninformationen einem Dieb den Zugriff auf das Bank- oder Kreditkonto des Karteninhabers ermöglicht. Typischerweise beinhaltet das Einlösen von PINs die Verwendung eines Geldautomaten (ATM), um Geld abzuheben, sobald die persönliche Identifikationsnummer (PIN) der Karte bekannt ist. Diese Version der Cyberkriminalität ist das Ergebnis einer Datenschutzverletzung während der Kartenverarbeitung.
Grundlegendes zum PIN-Einlösen
Die PIN-Einlösung nutzt eines der grundlegendsten Sicherheitsmerkmale von Debitkarten, die Verwendung einer mehrstelligen PIN-Nummer. Der Karteninhaber erstellt die PIN. Wenn der Karteninhaber die Debitkarte an einem Geldautomaten einführt oder durchzieht oder in einem Geschäft einen Einkauf tätigt, gibt er die PIN für eine Transaktionsabwicklung in das Terminal ein. In den USA ist bei Kreditkarten zur Verarbeitung keine PIN-Eingabe erforderlich, es sei denn, der Besitzer möchte Bargeld an einem Geldautomaten abheben. In Europa erfordert die Verwendung einer Kreditkarte während eines Ladenkaufs jedoch auch die Eingabe einer PIN.
Hacker können sich Zugang zum Computersystem einer Bank, eines Einzelhandelsgeschäfts oder anderer Unternehmen verschaffen, die Transaktionen elektronisch verarbeiten. Institutionen werden oft ins Visier genommen, wenn sie schwache Sicherheitssysteme haben. Diebe nutzen diesen unbefugten Zugriff, um vertrauliche Kontoinformationen zu stehlen.
In einigen Fällen können Hacker Auszahlungslimits entfernen, indem sie die Einstellungen des Sicherheitssystems manipulieren.
Der Home Depot-Verstoß
Der Angriff auf die Self-Checkout-Terminals von Home Depot im Jahr 2014 wurde zu einem der bemerkenswertesten Fälle von Kartendatendiebstahl. Dieses Ereignis gefährdete die Sicherheit von rund 50 Millionen Kredit- und Debitkarten. Das Unternehmen sah keine Beweise für die Offenlegung von PIN-Nummern, aber Sicherheitsexperten zeigten, wie Diebe mit mehreren wichtigen Datenpunkten über einen Kunden leicht persönliche Identifizierungsinformationen (PII) des Karteninhabers aus illegalem Data Mining erhalten können. Informationen, die ausreichen würden, um PIN-Nummern auf Banken-Websites zurückzusetzen.
Zum Beispiel könnten die Diebe von Home Depot Kreditkartennummern, Karteninhabernamen und Postleitzahlen abgleichen. Da viele Kunden in derselben Postleitzahl wie ihr lokales Home Depot leben, wurde dadurch effektiv die Postleitzahl des Karteninhabers preisgegeben. Ausgestattet mit diesen Informationen könnten Diebe Sozialversicherungsnummern, Geburtsdaten und andere persönliche Daten auslesen, die es ihnen ermöglichen würden, PINs zu ändern.
In der Zwischenzeit können ausgeklügelte Diebstahlringe gestohlene Karteninformationen auf neue Dummy-Karten drucken. Die gefälschte Karte, bewaffnet mit einer Reset-PIN, ermöglicht das Abheben von Bargeld an Geldautomaten.
Home Depot ist nicht das einzige Unternehmen, in dem Sicherheitsverletzungen Benutzerinformationen gefährden. Andere Opferunternehmen sind Panera Bread, MyFitnessPal, Sonic Drive-In und sogar der Kreditauskunftsriese Equifax.
Neue Technologie hilft Kriminellen beim Einlösen von PINs
Banken, Geschäfte und Kreditkartenunternehmen haben sich gegen das Einlösen von PINs gewehrt. Die neueren elektronischen Chips in Kreditkarten (EMV) für Europay, Mastercard und Visa sind viel schwerer zu fälschen als die älteren Magnetstreifenkarten. EMV-Karten verwenden die sogenannte Rolling-Code-Technologie und generieren bei jedem Kauf einen neuen Zahlungscode. Experten sagen jedoch, dass die Verteidigung gegen PIN-Einlösung und andere Formen des Diebstahls von Kartendaten ständige Wachsamkeit erfordert.
Kredit- und Debitkartendiebstahl kann in jedem Geschäft, jeder Bar oder jedem Restaurant passieren, in dem Ihre Karte während der Bearbeitung außer Sichtweite ist. Diebe haben tragbare Skimmer, die in eine Tasche passen, und Benutzer können Ihre Karte ohne Ihr Wissen illegal scannen. Im Jahr 2018 wurde beispielsweise eine Kellnerin des Oklahoma City Twin Peaks Restaurants mit einem eiswürfelgroßen Skimmer, der in ihrer Hosentasche versteckt war, von den Überwachungskameras erfasst.
Kriminelle können auch gültige Kartenleser an Tankstellen und anderen Point-of-Sale (POS)-Standorten gegen ein modifiziertes austauschen. Das geänderte Lesegerät überträgt die Daten über eine Bluetooth-Verbindung. Die Tastaturen verfügen möglicherweise über eine 3D-gedruckte Überlagerung, die Ihre PIN-Eingabe aufnimmt und überträgt. Sie sind sogar dafür bekannt, kleine Pin-Kameras in den zum Verkauf stehenden Waren in der Nähe von Geldautomaten zu finden, um die PIN-Einträge von Skimmed Cards aufzuzeichnen.
FICO-Daten berichten, dass im Jahr 2017 die Zahl der kompromittierten Geldautomaten und Point-of-Sale-Geräte um 8 % und die Zahl der kompromittierten Debitkarten in derselben Studie um 10 % gestiegen ist.