PIN-pas skimmen, hoe gaat dat in zijn werk?

[Anoniem: 46304]

MrJey schreef op vrijdag 12 december 2008 @ 07:42:
Waarom laten ze mensen die willen pinnen geen handtekening zetten, verplicht, net als met credit cards.

Als ze die regel nou overal toepassen, kunnen die skimmers niks met pasje + code, want de handtekening ontbreekt.

Maar daar zullen ze waarschijnlijk weer iets op verzinnen.

Dat kan alleen als ze met dat ding pinnen in een winkel, iets wat skimmers bij mijn weten noit doen. Maar dan nog, dan maak je het pasje wat mooier na, zet er een fake handtekening op (de winkelier weet toch niet hoe de echte er uit ziet) en krabbelt die op een stuk papier.

[Eusebius]

Wouter! schreef op dinsdag 01 september 2009 @ 10:30:
Overigens is Currence een stickeractie gestart (de stickers zijn inmiddels bijna overal al terug te vinden) waarmee eventuele skimacties snel opgemerkt en enigszins voorkomen moeten kunnen worden.

Als ik nou van jou voor 500,- per sticker tien van deze stickers koop .. kunnen we dan praten?

Is het niet veel beter om per winkel of per bedrijf een eigen variant te bedenken ipv standaard stickers uit te gaan delen? Want door te uniformeren over NL kan ik (de boef) van een omkoopbare monteur stickers overnemen die ik na inbraak weer terugplaats op geskimde apparatten.

^{mocht de politie meelezen: dit is dus puur fictie. Ik betaal veel meer voor de stickers...}

[Wouter!]

Eusebius schreef op dinsdag 01 september 2009 @ 11:43:
[...]

Als ik nou van jou voor 500,- per sticker tien van deze stickers koop .. kunnen we dan praten?

Is het niet veel beter om per winkel of per bedrijf een eigen variant te bedenken ipv standaard stickers uit te gaan delen? Want door te uniformeren over NL kan ik (de boef) van een omkoopbare monteur stickers overnemen die ik na inbraak weer terugplaats op geskimde apparatten.

^{mocht de politie meelezen: dit is dus puur fictie. Ik betaal veel meer voor de stickers...}

En het mooie is dat Currence in de correspondentie een ontwerp van de sticker heeft meegestuurd waarin de exacte maten en beveiligingskenmerken van de stickers worden vermeld .

Ik heb de stickers zelf overigens niet. Anders had ik graag zaken gedaan .

Ik heb van Currence overigens ook een rapport ontvangen waarin verschillende anti-skim oplossingen uiteen worden gezet. De oplossing die mij het beste/mooiste leek en ook door Currence goed wordt beoordeeld wordt momenteel bij de MediaMarkt ingezet.

[ Voor 16% gewijzigd door Wouter! op 01-09-2009 13:07 ]

[Eusebius]

Wouter! schreef op dinsdag 01 september 2009 @ 13:04:
[...]


En het mooie is dat Currence in de correspondentie een ontwerp van de sticker heeft meegestuurd waarin de exacte maten en beveiligingskenmerken van de stickers worden vermeld .

Ik heb de stickers zelf overigens niet. Anders had ik graag zaken gedaan .

Ik heb van Currence overigens ook een rapport ontvangen waarin verschillende anti-skim oplossingen uiteen worden gezet. De oplossing die mij het beste/mooiste leek en ook door Currence goed wordt beoordeeld wordt momenteel bij de MediaMarkt ingezet.

Lekker slim weer ... 's ochtends kijkt de cassiere even naar het apparaat en .. ja hoor de stickers zitten op dezelfde plek. Gewenning heet dat. Als je elke dag hetzelfde object ziet, let je er eigenlijk niet goed op. Totdat je echt goed gaat kijken ...

Zag trouwens gisteren op Utrecht centraal dat ze de kaartautomaten voorzien van een andere invoer. Vraag me altijd af wie het in zijn hoofd haalt de apparaten op Utrecht Centraal te willen skimmen.

[CyBeR]

Eusebius schreef op dinsdag 01 september 2009 @ 13:09:
[...]

Zag trouwens gisteren op Utrecht centraal dat ze de kaartautomaten voorzien van een andere invoer. Vraag me altijd af wie het in zijn hoofd haalt de apparaten op Utrecht Centraal te willen skimmen.

Iemand die belachelijk veel geld wil verdienen

NS is ze idd aan het vervangen door een soort bakje waar je 't ding in moet leggen alvorens 'ie in de automaat gaat. Wel een grappig idee-- in theorie wordt skimmen daarmee echt compleet onmogelijk of ze moeten dat hele ding gaan zitten vervangen en da's knap lastig om ongezien te doen.

[Stukfruit]

Hier in Noord Holland zitten er sinds een week ofzo opeens beugels over de invoer heen, plus de sticker

De beugels maken het een stuk minder simpel om er even snel je pas doorheen te halen, er blijft weinig ruimte over voor je vingers om de pas aan vast te houden. Kan niet zeggen dat ik er blij mee ben.

[AW_Bos]

Eusebius schreef op dinsdag 01 september 2009 @ 13:09:
[...]

Lekker slim weer ... 's ochtends kijkt de cassiere even naar het apparaat en .. ja hoor de stickers zitten op dezelfde plek. Gewenning heet dat. Als je elke dag hetzelfde object ziet, let je er eigenlijk niet goed op. Totdat je echt goed gaat kijken ...

Zag trouwens gisteren op Utrecht centraal dat ze de kaartautomaten voorzien van een andere invoer. Vraag me altijd af wie het in zijn hoofd haalt de apparaten op Utrecht Centraal te willen skimmen.

Ergens om 23.00 'savond of in de nacht? Als je het bij een verlaten automaat doet, dan zou niemand het kunnen opmerken. En zo'n skim-device is er trouwens zo ingezet (in de oude situatie dan).

[Powermage]

Ik ken filmpjes dat een banksys word voorzien van zo een overlay (oude skim techniek) onder de neus van de kassiere. Maatregelen vallen of staan met hoe mensen er mee om gaan, veel beugels (ook zoals besproken in de Banksys security mail) werken bijvoorbeeld tegen overlay's maar niet tegen de huidige techniek van skimming, dan halen ze hem snachts uit de beugel.

Ook zijn beugels gewoon vervelend, het geeft een negatief gebruiksgemak en mensen snappen door de wildgroei aan beugels er helemaal niets meer van.

[Wouter!]

Stukfruit schreef op dinsdag 01 september 2009 @ 13:17:
Hier in Noord Holland zitten er sinds een week ofzo opeens beugels over de invoer heen, plus de sticker

De beugels maken het een stuk minder simpel om er even snel je pas doorheen te halen, er blijft weinig ruimte over voor je vingers om de pas aan vast te houden. Kan niet zeggen dat ik er blij mee ben.

Volgens mij valt dat met de beugel van Nidrac, die ook bij MediaMarkt wordt gebruikt, wel mee: http://www.nidrac.nl/

De beugel die je in die Powerpoint slideshow ziet (gemaakt door Ouwerkerk) lijkt me minder handig en bied ook helemaal geen bescherming zoals je ziet.

[ Voor 5% gewijzigd door Wouter! op 01-09-2009 14:34 ]

[Stukfruit]

Juist, die beugel uit de Powerpoint presentatie die je daar linkt bedoelde ik, die is hier opeens overal te zien:



Verschrikkelijke dingen voor erg weinig extra beveiliging, zoals het kleine gaatje in de afbeelding goed laat zien. Ik vraag me af of de winkeleigenaren hier die presentatie al eens gezien hebben.. (of is het verplicht?)

[ Voor 7% gewijzigd door Stukfruit op 01-09-2009 15:52 ]

[Anoniem: 177333]

wat ik me afvraag is hoe een bank kan zien dat jouw pas geskimmed is.

A. ik pin op AMS centraal station ff 50 euro, waarna ik op vakantie ga naar Rome, en pin daar 500 euro.

B. ik word geskimmed en er word in Rome 500 euro van mijn rekening afgehaald.

Als in beide gevallen ik mijn pas laat blokkeren en vermeld dat iemand anders mijn pas geskimmed heeft, hoe kan de bank zoiets nu verifieren? is dit niet een hele makkelijke manier om geld op te strijken? immers word de 500 euro teruggestort..

[ Voor 5% gewijzigd door Anoniem: 177333 op 01-09-2009 16:14 ]

[BCC]

Niet. Ze krijgen meestal na een aantal meldingen wel door welk pin apparaat geskimmed is geweest en blokken dan gewoon ALLE passen die die dag er doorheen zijn gegaan.

Daarnaast analyzeren ze vage afboekingen. En neef van mij heeft zijn pas wel eens geblokkeerd gehad omdat hij 's ochtends in Nederland en 's Middags in Italie gepind had.

[mcDavid]

Anoniem: 177333 schreef op dinsdag 01 september 2009 @ 16:13:
wat ik me afvraag is hoe een bank kan zien dat jouw pas geskimmed is.

A. ik pin op AMS centraal station ff 50 euro, waarna ik op vakantie ga naar Rome, en pin daar 500 euro.

B. ik word geskimmed en er word in Rome 500 euro van mijn rekening afgehaald.

Als in beide gevallen ik mijn pas laat blokkeren en vermeld dat iemand anders mijn pas geskimmed heeft, hoe kan de bank zoiets nu verifieren? is dit niet een hele makkelijke manier om geld op te strijken? immers word de 500 euro teruggestort..

Dus jij wou even naar rome heen en weer om 500 euro te pinnen?
Lijkt me niet echt een praktische inkomstenbron. Van bedelen wordt je sneller rijk. Bovendien kunnen ze het verifiëren door klachten te vergelijken. Een skimmer zal sowieso proberen zoveel mogelijk passen te skimmen bij dezelfde automaat, anders zet het geen zoden aan de dijk. Het is dus eenvoudig na te gaan of jij als enige gebruiker van die automaat die dag een potentieel skim-patroon vertoont, of dat meerdere gebruikers van die automaat dat doen.

En natuurlijk kunnen ze simpelweg een mannetje naar die automaat sturen om te controleren of er skim-apparatuur in zit.

[Orion84]

Anoniem: 177333 schreef op dinsdag 01 september 2009 @ 16:13:
[...]
is dit niet een hele makkelijke manier om geld op te strijken? immers word de 500 euro teruggestort..

Het is fraude, maar aangezien ze niet elke skimming claim diepgravend zullen onderzoeken zul je zo vast wel wat geld kunnen opstrijken ja. Tot ze om wat voor reden dan ook een keer ontdekken dat het valse aangiftes zijn en dan ben je het bokje. En als je serieus interessante bedragen wilt buit maken op deze manier dan ga je op een gegeven moment wel opvallen denk ik zo.

Beetje hetzelfde met allerlei verzekeringen, daar is het vaak ook niet al te moeilijk om fraude te plegen aangezien zeker bij wat kleinere bedragen de kosten van een onderzoek niet opwegen tegen het mogelijk ten onrechte uitkeren van een vergoeding.

Vervelende is alleen wel dat dit soort grappen uiteindelijk de kosten van verzekeraar/bank opdrijft, wat dan weer leidt tot hogere premies/bankkosten of lagere spaarrentes of zo.

[vanaalten]

Wat ik niet snap: in de kantine op m'n werk (voor de kenners: High Tech Campus 'Foodcourt') hebben ze die bekende grijze kubusjes (zie vijf posts terug voor de foto...). Je kan daar op drie manieren mee betalen:

1. Pas door magneetstrip, pincode invoeren en OK drukken
2. Pas op de kant in die smalle invoergleuf, 'chipknip' kiezen en OK drukken
3. Pas op de kant in die smalle invoergleuf, ''pinnen' kiezen en pincode + OK drukken. (precieze tekst is wat anders, maar het werkt dus wel: pinnen via de chip!)

Ergens anders waar ze dezelfde kubusjes hebben heb ik optie '3' ook geprobeerd, maar daar kon ik niet kiezen - alleen chippen via die smalle invoergleuf.

Waar ligt dat aan? Zijn er verschillende types van die kubusjes en is dat voor mij niet goed van buiten te zien? Of is er een software-aanpassing of zo nodig voor die pinnen-via-chip ondersteund?

[Eusebius]

Orion84 schreef op dinsdag 01 september 2009 @ 16:30:
[...]

Het is fraude, maar aangezien ze niet elke skimming claim diepgravend zullen onderzoeken zul je zo vast wel wat geld kunnen opstrijken ja. Tot ze om wat voor reden dan ook een keer ontdekken dat het valse aangiftes zijn en dan ben je het bokje.

Volgens mij moet je ook nog eens tig pintransacties in Rome hebben, voordat het door mag gaan als skimmen. Als wij met zn 2en iets opzetten (pas kopieren, binnen een kwartier pinnen in Appelscha en Barcelona) dan zal de bank dat heus wel verder onderzoeken.

Als er 200 transacties in de C1000 van Appelscha gebeuren, daarna dezelfde 200 rekeningnr in Barcelona .. ja dan wordt er dus geskimmed.

[CyBeR]

Eusebius schreef op dinsdag 01 september 2009 @ 19:07:
[...]

Volgens mij moet je ook nog eens tig pintransacties in Rome hebben, voordat het door mag gaan als skimmen. Als wij met zn 2en iets opzetten (pas kopieren, binnen een kwartier pinnen in Appelscha en Barcelona) dan zal de bank dat heus wel verder onderzoeken.

Als er 200 transacties in de C1000 van Appelscha gebeuren, daarna dezelfde 200 rekeningnr in Barcelona .. ja dan wordt er dus geskimmed.

Op zich is dat vrij simpel te detecteren in sommige gevallen, hoewel 't een klein beetje van toeval afhangt. Het kost je ongeveer 3 uur om van Schiphol naar Rome te vliegen. Als je dus in Nederland pint (en dat is niet op Schiphol), en dan binnen een uur ook in Rome pint is er gegarandeerd stront aan de knikker. Ik ken ook wel mensen die zelf genoeg heen en weer hebben gereisd dat hun pasjes geblokkeerd werden omdat de bank vermoedde dat er iets mis was. Was niet zo alleen. En ik ben zelf een keer door m'n bank gebeld nadat ik had geprobeerd 2 iPhones in Rome te kopen met m'n cc. (Wat helaas mis ging, 1000 euro limiet, 1000 euro product maar had eerder een treinkaartje gekocht met m'n cc ) Binnen 5 minuten had ik ze aan de lijn.

[Sefyu]

Daarnaast gaat het niet alleen om tijden tussen transacties, maar teven je normale uitgavenpatroon, als je al 5 jaar lang alleen treinkaartjes en croissantjes koopt met je pinpas, en vervolgens een dag later in Barcelona 1500 euro pint, zal de bank ook rekening houden met je normale uitgavenpatroon bij het onderzoek dat wordt gestart n.a.v. je aangifte.

Om te frauderen heb je alleen kennis en een ietwat bovengemiddelde intelligentie nodig.

[Wouter!]

vanaalten schreef op dinsdag 01 september 2009 @ 18:57:
Wat ik niet snap: in de kantine op m'n werk (voor de kenners: High Tech Campus 'Foodcourt') hebben ze die bekende grijze kubusjes (zie vijf posts terug voor de foto...). Je kan daar op drie manieren mee betalen:

1. Pas door magneetstrip, pincode invoeren en OK drukken
2. Pas op de kant in die smalle invoergleuf, 'chipknip' kiezen en OK drukken
3. Pas op de kant in die smalle invoergleuf, ''pinnen' kiezen en pincode + OK drukken. (precieze tekst is wat anders, maar het werkt dus wel: pinnen via de chip!)

Ergens anders waar ze dezelfde kubusjes hebben heb ik optie '3' ook geprobeerd, maar daar kon ik niet kiezen - alleen chippen via die smalle invoergleuf.

Waar ligt dat aan? Zijn er verschillende types van die kubusjes en is dat voor mij niet goed van buiten te zien? Of is er een software-aanpassing of zo nodig voor die pinnen-via-chip ondersteund?

Als je kunt pinnen door je pas in de smalle invoergleuf te stoppen dan is de automaat EMV-geschikt, de BankSys Xenta is EMV-geschikt. Je pint dan met de chip op je pinpas (niet te verwarren met chippen uiteraard).

Wat ik dan alleen niet zo goed snap is dat dat niet overal werkt bij automaten van hetzelfde type. De automaat zou immers gewoon EMV-geschikt moeten zijn ...

Ik ben hier eigenlijk wel benieuwd naar . Ik zal bij m'n eerstvolgende betaling bij zo'n Xenta 'ns proberen om de pas in de chip-gleuf te steken.

Voor chippen met deze automaat moet overigens een extra module aan de achterzijde worden geplaatst. Misschien dat het daar iets mee te maken heeft.

[ Voor 13% gewijzigd door Wouter! op 01-09-2009 23:56 ]

[vanaalten]

Wouter! schreef op dinsdag 01 september 2009 @ 23:54:
[...]


Als je kunt pinnen door je pas in de smalle invoergleuf te stoppen dan is de automaat EMV-geschikt, de BankSys Xenta is EMV-geschikt. Je pint dan met de chip op je pinpas (niet te verwarren met chippen uiteraard).

Wat ik dan alleen niet zo goed snap is dat dat niet overal werkt bij automaten van hetzelfde type. De automaat zou immers gewoon EMV-geschikt moeten zijn ...

Ik ben hier eigenlijk wel benieuwd naar . Ik zal bij m'n eerstvolgende betaling bij zo'n Xenta 'ns proberen om de pas in de chip-gleuf te steken.

Voor chippen met deze automaat moet overigens een extra module aan de achterzijde worden geplaatst. Misschien dat het daar iets mee te maken heeft.

Die waarbij het wel werkt is wel een behoorlijk recent geplaatst model - half jaartje geleden of zo. Misschien dat ze tegenwoordig standaard voorzien worden van alle toeters & bellen. Maar dan nog - er zijn dus ook winkels die ze gaan voorzien van stickers, beveiligingsbeugels en zo. Waarom dan niet meteen upgraden naar een volledige EMV-geschikte oplossing? Als dat een kwestie is van een module bijplaatsen/vervangen...

[itsalex]

Ik ben ook geskimmed. Er is gepind in Londen. Maar er hangen toch overal camera's dus ik begrijp het niet. Je ziet toch wie en wat heeft gepind. Het is trouwens alleen maar met mijn Postbankpas en niet met de Rabo. Londen is juist de plaats waar overal camera's hangen er is gewoon gepind in het centrum van Londen. Eerst kreeg ik een mededeling van een gereserveerd bedrag voor de opname (echt heel vaag van Postbank) en toen werd het afgeschreven maar de Postbank had de uitlevering van deze transactie al stopgezet.

Ik vind het nieuwe systeem met de glasplaat en dan touch gevoeligheid niet goed (mijn vingers zijn niet warm genoeg of wat dan ook) en ik tik die pincode blind in met mijn hand er altijd boven en nu kan ik niet dat niet meer. Echt jammer. Ook hiervoor geldt gewoon een plaat er tussen en klaar. Dit is bij het Esso tankstation vanwege de skimmers.

[Orion84]

itsalex schreef op woensdag 02 september 2009 @ 09:17:
Ik ben ook geskimmed. Er is gepind in Londen. Maar er hangen toch overal camera's dus ik begrijp het niet. Je ziet toch wie en wat heeft gepind. Het is trouwens alleen maar met mijn Postbankpas en niet met de Rabo. Londen is juist de plaats waar overal camera's hangen er is gewoon gepind in het centrum van Londen.
[...]

Wat begrijp je niet? Dat skimmers het risico nemen om te pinnen bij een automaat waar een camera hangt? Met een klein beetje handigheid ben je echt niet zomaar te herkennen op die camera's.

[Wouter!]

Die mededeling van een gereserveerd bedrag krijg je overigens altijd als je in het buitenland pint. Bij de Postbank (ING) in elk geval wel. Die melding krijg je direct als je pint en een paar dagen later wordt dan de definitieve afschrijving gedaan (zo nodig verrekend met de reservering).

[burne]

itsalex schreef op woensdag 02 september 2009 @ 09:17:
Ik ben ook geskimmed. Er is gepind in Londen. Maar er hangen toch overal camera's dus ik begrijp het niet.

Reclame voor mezelf:

http://www.nutz.nl/archiv...misdrijf-per-jaar-op.html

Je bent dus niet een van de 1000 met-camera's-oplosbare misdrijven van het jaar.

[Ruud2001]

Ik log net in op MijnPostbank (ING whatever ) en krijg een melding over gewijzigde voorwaarden die binnenkort van kracht worden. Hierbij viel 1 zin mij in het bijzonder op:

Als u door verlies of diefstal van een betaalinstrument, bijvoorbeeld uw Betaalpas, schade lijdt, dan geldt voor u een eigen risico van maximaal € 150. Uiteraard vergoedt de ING geen schade als er van uw kant sprake is van fraude, opzet of grove nalatigheid.

Vraag is nu natuurlijk of skimmen ook onder verlies of diefstal van een betaalinstrument geldt? Ben zelf helaas ook al een keer het slachtoffer geworden van skimmen (vermoedelijk NS automaat), maar zou het wel vrij belachelijk vinden als je dit een eigen risico van € 150 zou kosten. Tot op de dag van vandaag heb ik namelijk geen officieel bericht waar ik ben geskimmed en volgens mij kan het echt iedereen overkomen.

[Powermage]

Wouter! schreef op dinsdag 01 september 2009 @ 23:54:
[...]


Als je kunt pinnen door je pas in de smalle invoergleuf te stoppen dan is de automaat EMV-geschikt, de BankSys Xenta is EMV-geschikt. Je pint dan met de chip op je pinpas (niet te verwarren met chippen uiteraard).

Wat ik dan alleen niet zo goed snap is dat dat niet overal werkt bij automaten van hetzelfde type. De automaat zou immers gewoon EMV-geschikt moeten zijn ...

Ik ben hier eigenlijk wel benieuwd naar . Ik zal bij m'n eerstvolgende betaling bij zo'n Xenta 'ns proberen om de pas in de chip-gleuf te steken.

Voor chippen met deze automaat moet overigens een extra module aan de achterzijde worden geplaatst. Misschien dat het daar iets mee te maken heeft.

Als je veel met die dingen te maken hebt ben je toch wel op de hoogte van de Beanet / CTAP migratie?
de eerdere modellen werden uitgeleverd met de oudere Beanet software en kan dus NIET van de chip gebruik maken, dit jaar worden alle automaten geupgrade naar de CTAP software (al onze klanten zijn pas geleden omgezet) waardoor elke automaat gelijk word. (je kan het herkennen: een Ctap heeft de menu opties "operator, technicus en beheerder" een Beanet heeft "operator en technicus")

Wanneer je nu overigens met Chip betaald met je NL pin pas word de transactie afgehandeld over het Maestro systeem en niet over het Nederlandse pin systeem, nu KAN een winkelier geen Maestro contract hebben, dan zal die transactie ook niet lukken.

Voor chipknip heb je alleen een chipknip SAM nodig (soort simkaartje waar het geld op gestort word, en met intervallen word die info naar de bank verzonden) in iedergeval geen module achterop. (de sam gaat onder erin)

[Wouter!]

Powermage schreef op woensdag 02 september 2009 @ 12:23:
[...]


Als je veel met die dingen te maken hebt ben je toch wel op de hoogte van de Beanet / CTAP migratie?
de eerdere modellen werden uitgeleverd met de oudere Beanet software en kan dus NIET van de chip gebruik maken, dit jaar worden alle automaten geupgrade naar de CTAP software (al onze klanten zijn pas geleden omgezet) waardoor elke automaat gelijk word. (je kan het herkennen: een Ctap heeft de menu opties "operator, technicus en beheerder" een Beanet heeft "operator en technicus")

Wij hebben enkel Xenta's met CTAP uitgerold dus daar was ik niet van op de hoogte.

Wanneer je nu overigens met Chip betaald met je NL pin pas word de transactie afgehandeld over het Maestro systeem en niet over het Nederlandse pin systeem, nu KAN een winkelier geen Maestro contract hebben, dan zal die transactie ook niet lukken.

Voor chipknip heb je alleen een chipknip SAM nodig (soort simkaartje waar het geld op gestort word, en met intervallen word die info naar de bank verzonden) in iedergeval geen module achterop. (de sam gaat onder erin)

Dat laatste bedoel ik ook, ik bedelde geen module (SAM) die zichtbaar is ofzo. Je kunt het dekseltje aan de onder/achterzijde van de Xenta openen. Het dekseltje aan de onderkant scharniert vanaf de achterzijde open (sorry voor de spraakverwarring). Dat kapje aan de achterkant is voor een optioneel printertje als ik me niet vergis.

[ Voor 8% gewijzigd door Wouter! op 02-09-2009 12:54 ]

[vanaalten]

Powermage schreef op woensdag 02 september 2009 @ 12:23:
[...]
Wanneer je nu overigens met Chip betaald met je NL pin pas word de transactie afgehandeld over het Maestro systeem en niet over het Nederlandse pin systeem, nu KAN een winkelier geen Maestro contract hebben, dan zal die transactie ook niet lukken.

Als ik het mij goed herinner kwamen die pin-via-chip betalingen op m'n rekeningafschrift als 'betaalautomaat buitenland' te staan... dus inderdaad lijkt het buiten het standaard nederlandse systeem te gaan.

[kolderindekop]

Lordy79 schreef op donderdag 11 december 2008 @ 23:07:
[...]

Sorry hoor, maar met een legitimatiebewijs + eventueel je (geblokkerde) pas kun je gewoon contant geld ophalen bij een lokaal bankkantoor.

Zijn die er nog dan bij ons in de buurt is er geen bank meer.
Ja 6 km verderop

[begintmeta]

Hmm, bizarre aanpak hebben Europay,Mastercard&Visa (EMV) gekozen, een man in the middle attack mogelijk maken is toch niet echt nodig

BBC-linkje
paper (pdf)

EMV is the dominant protocol used for smart card payments worldwide, with over 730 million cards in circulation. Known to bank customers as “Chip and PIN”, it is used in Europe; it is being introduced in Canada; and there is pressure from banks to introduce it in the USA too. EMV secures credit and debit card transactions by authenticating both the card and the customer presenting it through a combination of cryptographic authentication codes, digital signatures, and the entry of a PIN. In this paper we describe and demonstrate a protocol flaw which allows criminals to use a genuine card to make a payment without knowing the card’s PIN, and to remain undetected even when the merchant has an online connection to the banking network. The fraudster performs a man-in-the-middle attack to trick the terminal into believing the PIN verified correctly, while telling the issuing bank that no PIN was entered at all. The paper considers how the flaws arose, why they remained unknown despite EMV’s wide deployment for the best part of a decade, and how they might be fixed. Because we have found and validated a practical attack against the core functionality of EMV, we conclude that the protocol is broken. This failure is significant in the field of protocol design, and also has important public policy implications, in light of growing reports of fraud on stolen EMV cards. Frequently, banks deny such fraud victims a refund, asserting that a card cannot be used without the correct PIN, and concluding that the customer must be grossly negligent or lying. Our attack can explain a number of these cases, and exposes the need for further research to bridge the gap between the theoretical and practical security of bank payment systems.

[LuckY]

http://security.nl/artike..._Chip_en_PIN_systeem.html

Hier het security.nl artikel, had het ook al gevoden... de allways yes card leuk gevonden.

Ik had hem ook al voor de frontpage gemeld

maar is dit nu de nieuwe of de oude kaart?

[ Voor 21% gewijzigd door LuckY op 13-02-2010 22:55 ]

[begintmeta]

Ha, ok, ook een leuk stukje. Het gaat om de nieuwe kaart.

nieuws: Pinpas met magneetstrip verdwijnt twee jaar eerder is zo wel weer interessanter.

[ Voor 7% gewijzigd door begintmeta op 13-02-2010 22:55 ]

[LauPro]

... sprakeloos ...

Ik had ENIGSZINS nog een hoge pet op van de bankindustrie, maar nu lijkt het erop dat zij ook maar aan lopen te klooien.

Het is waar, IT'ers zijn de kerkenbouwers van vroeger, daar ging in het begin ook van alles grandioos mis.

[CyBeR]

D'r gaat nog iets mis daar inderdaad. Verbetering is wel dat je voor die aanval de kaart in bezit moet hebben, waar de magneetstrip zonder medeweten gekopieerd kan worden waarna de kopie met afgekeken pincode zonder moeite gebruikt kan worden.

[LuckY]

Je hebt de pincode niet nodig met de allways-yes kaart. Je hebt alleen een kopie van de kaart nodig.
Zolang je niet de rekeningen plundert, kan je met die kaarten gewoon shoppen op de pin en ze komen er niet achter, pas na x weken. want het bedrijf mist transacties.... en bij de persoon is niks afgeschreven en dan gaan ze zoeken.

En aangezien dit systeem in heel europa is ingevoerd, kan je even in belgie in 20 winkels TV's halen. En weer verder gaan

[ Voor 16% gewijzigd door LuckY op 14-02-2010 00:00 ]

[CyBeR]

LuckyY schreef op zaterdag 13 februari 2010 @ 23:59:
Je hebt de pincode niet nodig met de allways-yes kaart. Je hebt alleen een kopie van de kaart nodig.

Met de magneetstrip heb je ook de pincode nodig. De always-yes kaart is ook een chipkaart, maar dan een iets simpelere.

[RemcoDelft]

LuckyY schreef op zaterdag 13 februari 2010 @ 22:52:
http://security.nl/artike..._Chip_en_PIN_systeem.html

Hier het security.nl artikel, had het ook al gevoden... de allways yes card leuk gevonden.

Het blijft natuurlijk een heel lomp systeem: "pasje en code die te kopieren zijn". En als de code al niet eens nodig is, is het nog veel mooier, dan is een gevonden/gestolen PINpas (en hoeveel honderdduizend raken er daarvan kwijt per jaar in Nederland?) genoeg!

[CyBeR]

RemcoDelft schreef op zondag 14 februari 2010 @ 00:05:
[...]

Het blijft natuurlijk een heel lomp systeem: "pasje en code die te kopieren zijn". En als de code al niet eens nodig is, is het nog veel mooier, dan is een gevonden/gestolen PINpas (en hoeveel honderdduizend raken er daarvan kwijt per jaar in Nederland?) genoeg!

Daarom is het zaak om als de wiedeweerga je pas te laten blokkeren zodra je merkt dat 'ie kwijt is. Die transacties worden nog altijd online geverifieerd aangaande pasblokkeringen, dus zodra dat gedaan is ben je in principe veilig en kan de dief (of vinder) alleen nog 't chipknipsaldo leegmaken.

Overigens denk ik niet dat er honderdduizend passen per jaar in Nederland kwijtraken. Dat zou al betekenen dat minimaal een op de 160 mensen eenmaal per jaar z'n pas kwijt raakt. 't zullen er best een aantal zijn maar niet zoveel denk ik. Het ding is toch best iets waar we wel op letten.

[ Voor 17% gewijzigd door CyBeR op 14-02-2010 00:10 ]

[iisschots]

Het programma goudzoekers had hier eerder ook al een reportage over. http://weblogs.vpro.nl/go.../afl-5-het-nieuwe-pinnen/

Het is zeker belangrijk om hem zo snel mogelijk te blokkeren. Daarom heb ik ook de telefoonnummer in mijn mobiel staan. Het zou mooi zijn dat de kaart voordat hij ingevoerd is niet gekraakt zou zijn.

[begintmeta]

iisschots schreef op zondag 14 februari 2010 @ 00:20:
Het programma goudzoekers had hier eerder ook al een reportage over. http://weblogs.vpro.nl/go.../afl-5-het-nieuwe-pinnen/
...

Dit ging meen ik om een andere kraak toch?

[LuckY]

ja, de relay attack bij de oude had je nog een malicious terminal nodig waar iemand eerst moest pinnen... zo kregen ze de iirc de data die ze dan via de pas afspeelde voor een groter bedrag

[ Voor 78% gewijzigd door LuckY op 14-02-2010 01:31 . Reden: Fixed thanks :) ]

[begintmeta]

paper voor de relay attack. en hier ook natuurlijk (eindnoten zijn handig... )

Overigens worden in NL pin transacties (eigenlijk afaik?) altijd online geverifieerd, waardoor de aanval niet werkt (de relay aanval wel natuurlijk)

[ Voor 64% gewijzigd door begintmeta op 14-02-2010 13:22 ]

[RemcoDelft]

CyBeR schreef op zondag 14 februari 2010 @ 00:09:
[...]
Overigens denk ik niet dat er honderdduizend passen per jaar in Nederland kwijtraken. Dat zou al betekenen dat minimaal een op de 160 mensen eenmaal per jaar z'n pas kwijt raakt. 't zullen er best een aantal zijn maar niet zoveel denk ik. Het ding is toch best iets waar we wel op letten.

Ik heb in m'n leven 3 portemonnee's gevonden, als iedereen dat doet, raakt de gemiddelde Nederlander hem ook meerdere keren kwijt...

[Anoniem: 343079]

Pas tegenwoordig bij het skimmen ook op de gelduitgifte la, die word ook wel eens dichtgemaakt, met een voorstukje zodat de skimmer je gepinde geld heeft.

[Powermage]

Dan moet je wel enorm blind zijn om dat niet te zien, dat moet namelijk best een constructie zijn, als het geld namelijk niet word uitgenomen 'slikt' de automaat het namelijk gewoon weer in.

[LuckY]

Anoniem: 343079 schreef op zondag 14 februari 2010 @ 21:40:
Pas tegenwoordig bij het skimmen ook op de gelduitgifte la, die word ook wel eens dichtgemaakt, met een voorstukje zodat de skimmer je gepinde geld heeft.

LoL, dat lijkt me inderdaad best knap... het is een groot gapend gat van zo een 20cm². En dat lukt maar bij een persoon, want als die ze geld niet krijgt belt ie natuurlijk direct de bank.

[Liegebeest]

LuckyY schreef op maandag 15 februari 2010 @ 00:38:
[...]

LoL, dat lijkt me inderdaad best knap... het is een groot gapend gat van zo een 20cm². En dat lukt maar bij een persoon, want als die ze geld niet krijgt belt ie natuurlijk direct de bank.

En de bank kennende zeggen ze dat je dan maar naar het desbetreffende kantoor moet gaan om hen te vragen in de logboeken van het apparaaat na te kijken of het geld echt niet is uitgegeven. Alleen op werkdagen, tussen 10:00 en 16:00.

[Anoniem: 39993]

cailin_coilleach schreef op maandag 15 februari 2010 @ 07:39:
[...]

En de bank kennende zeggen ze dat je dan maar naar het desbetreffende kantoor moet gaan om hen te vragen in de logboeken van het apparaaat na te kijken of het geld echt niet is uitgegeven. Alleen op werkdagen, tussen 10:00 en 16:00.

Je moet tegenwoordig er gewoon een heel technisch verhaal van maken.
- Je belt het nummer wat op de automaat staat (of je bank).
- Je vertelt dat je geld niet uit de automaat is gekomen en dat je, bij nadere inspectie, hebt geconstatteerd dat er gerommeld is met de automaat. Vooral dat laatste benadrukken en er een mooi verhaal van maken.

Dan komen ze wel. Je moet inderdaad niet alleen melden dat je geld er niet uit kwam, want dan krijg je inderdaad een reactie zoals jij beschrijft. De bank moet denken dat ze een serieus probleem hebben met die automaat, niet dat jij een probleem had met 1 transactie.

[LuckY]

cailin_coilleach schreef op maandag 15 februari 2010 @ 07:39:
[...]

En de bank kennende zeggen ze dat je dan maar naar het desbetreffende kantoor moet gaan om hen te vragen in de logboeken van het apparaaat na te kijken of het geld echt niet is uitgegeven. Alleen op werkdagen, tussen 10:00 en 16:00.

Valt ook wel mee, op een zaterdag tussen 18:00 en 20:00 werd ik ook geholpen.
Ik zou zweren dat ik 100 euro had opgenomen maar kreeg maar 20 euro, bleek aan dat klote mis geconfigureerde touchscreen van pinautomaten te liggen. Ik kreeg direct te horen dat er ook maar 20 euro was afgeschreven

[Henk007]

Vanavond bij KRO Reporter een uitzending over skimmen:
Reporter 4 sept 2010 22.40 Ned 2

[LauPro]

Mooie docu. Slappe verhalen van de banken (en belangenverenigingen).

Vooral dat antwoord van ING .

Rop Gonggrijp had een paar mooie pakkende zinnen, al hoewel veel mensen hem zullen kwalificeren als marionet van de linkse media.

Het is ook gewoon een berekening voor de banken. Overigens vond ik het wel knap dat ze nog twee andere betaalmethodes even aan de tand voelde. Automatische incasso bijvoorbeeld... nog zo'n beerput.