Abzocke per Gutschrift Schwachstelle bei EC-Karten sorgt für Wirbel
News folgenEine Schwachstelle in EC-Karten-Terminals könnte es Hackern möglich machen, größere Geldbeträge zu ergaunern. Geschädigte wären in dem Fall die Händler, deren Geräte missbraucht würden. Fast alle Bezahlterminals in Deutschland sollen von der Lücke betroffen sein, berichten "Süddeutsche Zeitung", NDR und WDR.
Sicherheitsforscher von Security Research Labs (SR Labs) um den IT-Spezialisten Karsten Nohl haben die Schwachstelle entdeckt. Sie betrifft die Kommunikation von elektronischen Bezahl-Terminals und könnte dazu genutzt werden, dass sich Kriminelle selbst Gutschriften ausstellen könnten. Fast alle Bezahlterminals in Deutschland seien betroffen und somit Einzelhändler, Hotelbetreiber und Tankstellen, sagte IT-Sicherheitsforscher Karsten Nohl dem Rechercheverbund von "Süddeutscher Zeitung", NDR und WDR.
Banken halten EC-Hack für "nicht realistisch"
Die Banken und Sparkassen wiegelten ab: Die Angriffe seien nur unter Laborbedingungen möglich, teilte der Verband Deutsche Kreditwirtschaft (DK) mit. Das Girocard-System sei sicher, heißt es in einer Stellungnahme, der Angriff sei "nicht realistisch".
Nohl und sein Team führten die Schwachstelle an einem so genannten POS-Terminal vor der "Süddeutscher Zeitung", NDR und WDR vor. POS-Terminals stehen seit Jahren zum Beispiel an Supermarkt-Kassen und erlauben dem Kunden das Bezahlen mit der EC-Karte. Wie alt die POS-Modelle in dem Versuch waren, steht jedoch offen.
Gleichwertige POS-Terminals lassen sich laut dem Bericht für wenige Euro im Monat mieten. Die Angreifer könnten das Passwort des Terminals, die Identifikationsnummer und den Verbindungsaufbau analysieren.
Sicherheitsforscher warnt vor PIN-Diebstahl
Mit diesen Informationen lasse sich ein Verbindungsaufbau herstellen, bei dem die Angreifer ein fremdes POS-Terminal übernehmen, hieß es. So seien sie in der Lage, sich Gutschriften auszustellen. Grundsätzlich sei es denkbar, sich mit dieser Masche von Terminal zu Terminal zu arbeiten – und so in großem Stil Geld abzuschöpfen.
In einigen Fällen ließen sich laut Nohl sogar auf den Magnetkarten gespeicherte Daten und über weitere Umwege sogar PINs stehlen. Laut dem Verband Deutsche Kreditwirtschaft basiere das Girocard-System jedoch seit 2012 vollständig auf Chip und PIN. Die von SR-Labs entdeckte Schwachstelle in der Magnetstreifentechnik sei nicht auf Chipkarten übertragbar.
Zu dem genauen Ausmaß der PIN-Schwachstelle äußerte sich Nohl allerdings nicht. Die Sicherheitsforscher wollen erst am 27. Dezember auf der Hacker-Konferenz 32C3 in Hamburg einen detaillierten Bericht geben.
