Kreditkortið mitt hackað !!!

[GuðjónR]

Rétt fyrir klukkan sjö í morgun vaknaði ég við SMS í símanum, frekar óvenjulegt að fá SMS svona snemma dags, þegar ég var á leiðinni að athuga þá kom annað og svo þriðja hvert eftir öðru, alls sextán SMS.
Þegar ég svo tékka á sé ég mér til skelfingar að þetta eru staðfestinga SMS frá Íslandsbanka þess efnis að "Heimild sé veitt án korts", ég sé strax að það er verið að taka út af kortinu í heimildarleysi.
Fer í tölvuna og finn númerið hjá Borgun og innan við mínútu síðar er ég búinn að ná samandi, bið strákinn sem svarar að loka kortinu undir eins þar sem ég sé að fá skilaboð þess efnis að kortið sé í notkun, hann þráast aðeins við og segist ekki sjá nein merki um það að það sé verið að misnota kortið. En meðan hann er að skoða þetta þá halda SMSin áfram að hrúgast inn, svo allt í einu segir hann, hey jú kortið þitt er að detta inn á válistann.
Að því sögðu lokaði hann kortinu.

Klukkan níu hafði ég svo samband við Borgun aftur og spurði þjónustufulltrúan meðal annars af hverju kortinu var ekki lokað strax um leið og ég hringdi, (ekki eins og það sé eitthvað stórmál að opna það aftur), en þá sagði hún mér að þau kölluðu þetta Hríðskotafærslur, þá væri þrjótarnir sem hefðu kortanúmerið að dæla út færslum oft tugum eða hundruðum og þar sem kerfið þeirra uppfærist á 10 mínútna fresti þá koma færslurnar oft allar í einu. Þetta gerðist allt svo hratt og í þessu tilfelli þá hefði ég verið á undan þeim að sjá að það væri verið að misnota kortið.

Án þess að þeir viti nákvæmlega hvað kom fyrir þá var mér sagt að líklegasta skýringin væri sú að einhver með mjög líkt kortanúmer hafi lent í því að segulrönd hafi verið kóperuð, þrjótarnir velja svo næst hundrað kortanúmer fyrir neðan og næstu hundrað fyrir ofan og keyra svo í gegn og vona að þeir hitti á korrtanúmer sem virkar. Þetta eru 16 stafa númer þannig að líkurnar í því að lenda í þessu hljóta að vera minni en að vinna EuroJackPot.

Þvínæst þurfti ég að fylla út form á Borgun, prenta út kvitta á scanna og senda þeim aftur í tölvupósti.
Þegar það var búið fékk ég eftirfarandi svar:

Sæll Guðjón,
Kvörtun v/ kortafærslu er móttekin og komin í vinnslu. Vinsamlegast athugið að það getur tekið allt að 60 daga að fá fyrstu svör vegna málsins. Um leið og niðurstaða berst verður haft samband við útgefanda kortsins og/eða korthafa sjálfan.

Það er augljóst að þarna vinna menn enga yfirvinnu.

En allaveganna þá lítur út fyrir að þetta hafi ekki náðst að fara í gegn, ég sé engin merki þess að þetta hafi farið af reiknignum mínum, líklega af því að ég var svo snöggur að bregðast við með þurrk í koki og stírur í augum. En mikið svakalega er vont að vakna upp við svona lagað.

SMSin sem ég fékk:

6:51
kr. 124
Neighbors Table

6:51
kr. 183
Motorcyclecloseouts, L

6:51
kr. 124
Neighbors Table

6:52
kr. 178
Motorcyclecloseouts, L

6:52
kr. 143
Motorcyclecloseouts, L

6:53
kr. 124
Neighbors Table

6:53
kr. 6.228
Motorcyclecloseouts, L

6:53
kr. 124
GOOGLE *SERVICES

6:53
kr. 124
GOOGLE *SERVICES

6:55
kr. 124
Neighbors Table

6:55
kr. 6.228
Motorcyclecloseouts, L

6:56
kr. 124
PAYPAL

6:57
kr. 124
PAYPAL

6:58
Your securecode is xxxxx.
The purchase amount is EUR 94.68 from
URBAN LOCKER

6:58
Your securecode is xxxxx.
The purchase amount is EUR 94.68 from
URBAN LOCKER

6:59
kr. 0
ANC*ARCHIVES.COM

Total:
13.952 kr.
189.36 €

[rattlehead]

Ég lenti í þessu og fékk símtal frá borgun. Ég þurfti einmitt að fara í Íslandsbanka og fylla út blað. Upphæðin hjá mér reyndist vera um 50.000 og þetta var lagað um leið. Kortið lokað og ég fékk nýtt. Mér finnst reyndar þessi sms um kortanotkun alger snilld.

[baldurgauti]

Þurfið þið sem korthafar að borga þetta ef svona kemur uppá eða er einhver trygging gangvart þessu?

[Revenant]

Þvínæst þurfti ég að fylla út form á Borgun, prenta út kvitta á scanna og senda þeim aftur í tölvupósti.
Þegar það var búið fékk ég eftirfarandi svar:

Sæll Guðjón,
Kvörtun v/ kortafærslu er móttekin og komin í vinnslu. Vinsamlegast athugið að það getur tekið allt að 60 daga að fá fyrstu svör vegna málsins. Um leið og niðurstaða berst verður haft samband við útgefanda kortsins og/eða korthafa sjálfan.

Það er augljóst að þarna vinna menn enga yfirvinnu.

Það getur tekið nokkra daga (1-14 daga) að fá færslurnar (þetta voru bara heimildabeiðnir sem þú fékst sms um).
Þá tekur við endurkröfuferlið sem tekur nokkra daga í viðbót (og jafnvel lengur ef búðin sem tók við kortinu reynir að dispute-a claim-ið).
Þessvegna er gefin svona ríflegur tímafrestur.

Þurfið þið sem korthafar að borga þetta ef svona kemur uppá eða er einhver trygging gangvart þessu?

Verslunin ber yfirleitt ábyrgð á greiðslum sem eru yfir netið. Korthafinn þarf ekki að borga ef kortið er notað með sviksamlegum hætti.

[GuðjónR]

Ég var að skoða yfirlitið, þessar upphæðir fóru aldrei út af kortinu. Náði greinilega að stoppa þetta í tæka tíð.
En mér finnst þetta samt mjög skrítið, hvernig geta þeir notað kortið án þess að vera með 3 stafa CSV númerið sem er aftan á.
Þau vildu ekki gefa út um það hvort ég bæri ábyrgð eða ekki, en gáfu það samt í skyn að ég bæri ekki ábyrgð á þessum færslum.
Fæ nýtt kort í vikunni.

[urban]

Andskotinn var þetta kortið þitt.
Ég lofa að láta það vera næst.

[Hizzman]

Ætli það séu til staðar reglur um ábyrgð, eða er þetta bara metið í hverju tilviki?

[chaplin]

Amma mín og vinkona hennar lentu í því að vera á Tenerife og voru plataðar til að kaupa spjaldtölvur hjá Video Sonic. Löng saga stutt, þær voru rukkaðar €1500 hvor, eftir að þær fóru úr búðinni. Ástæðan fyrir því að þær fengu ekkert endurgreitt var að PIN númerið hefði verið notað með örgjörvanum.

As if að þær myndu samþykkja €1500 færslu, í verslun sem þær afhentu aðeins einu sinni kortið (f. €118 færslu). Mind you, önnur þeirra var ekki með kortið á sér.

Skv. Valitor er þetta þeirra ábyrgð, við höfum þó ekki gefist upp alveg strax en þeir ætla ekkert að gefa eftir.

Æðislegt þegar maður þarf að velja á milli Mafíu A (Valitor) eða Mafiu B (Borgun).

[depill]

Reyndar er Borgun bara færsluhirðir núna. Íslandsbanki er með beinan samning við MasterCard. Og það er í raun og veru Amex/VISA/MasterCard sem gera þessa reglu með PIN númerin um ábyrgð.

Þetta er einn helsti hvatinn fyrir verslanir er að nota SecurCode ( sem er líka á þína ábyrgð ) eða PIN númer að ábyrgðin er horfin frá þér ef það kemur charge-back og fer yfir á korthafa. Þannig að u-better watch out. Hins vegar á örgjörvinn að vera "uncopyalegur" og bara Chip + PIN sem tryggir færsluna ( það er að korthafinn er kominn með ábyrgðina yfir á sig )

[GuðjónR]

Það er greinilega stórvarasamt að vera með Kreditkort.

[Hizzman]

Það er greinilega stórvarasamt að vera með Kreditkort.

amk frá íslenskum banka !

[depill]

Það er greinilega stórvarasamt að vera með Kreditkort.

Að vera með kort almennt réttara sagt. Staðan þín er enn verri með Debetkort, mökkvesen að fá bakfært af því þótt að það hafi ekki verið notað Chip + PIN

[rapport]

Bara hætta að nota pinnið og fara kvitta aftur...

Ég hef séð fólk gera þetta, renna bara kortinu sínu í gegn í stað þess að stinga því í raufina.

[chaplin]

Bara hætta að nota pinnið og fara kvitta aftur...

Ég hef séð fólk gera þetta, renna bara kortinu sínu í gegn í stað þess að stinga því í raufina.

Óhentugt fyrir kortafyrirtækin og vilja þau hafa eins litla ábyrgð og mögulegt er.

Hins vegar á örgjörvinn að vera "uncopyalegur" og bara Chip + PIN sem tryggir færsluna ( það er að korthafinn er kominn með ábyrgðina yfir á sig )

Sú gamla var ekki með kortið á sér þegar millifærslan átti sér stað, en skv. Valitor var Chip + PIN notað og því engin ábyrgð á færslunni.

[Hizzman]

það er ekki mikið mál að 'ná' PIN kóðanum í sumum tilvikum. Einföld leið er að setja sæmilega videokameru í loftið fyrir ofan afgreiðsluborðið sem zúmmar á posann. Síðan þarf bara einhverja afsökun til að fara með kortið bakvið í örstutta stund.

Ömmur á Kanarí eru alveg berskjaldaðar!

[Tbot]

Hins vegar á örgjörvinn að vera "uncopyalegur" og bara Chip + PIN sem tryggir færsluna ( það er að korthafinn er kominn með ábyrgðina yfir á sig )

Sá sem trúir því að einhvað sé uncopylegt er að láta ljúga sig fullan.
Það er hægt að opna allt, bara spurning um afl, þ.e. reiknigetu og tíma.

[appel]

Það er ekki nóg að líklega eru þeir ekki með CSV númerið, þá vita þeir líklega ekki einu sinni nafnið þitt eða heimilisfang. Það er ótrúlegt að á þessari öld að það er svona auðvelt að fremja kreditkortasvindl.
Þetta sýnir okkur hvað við erum berskjölduð á þessari tækniöld. Það er lið þarna úti, erlendis, sem svífst einskins í að ræna svona í gegnum tölvur. Oftast er þetta upprunið í löndum sem er alveg skítsama um svona glæpi. Indland er stórtækt í þessu, Kína einnig.

En, kreditkortafyrirtækin vilja hafa þetta svona, því þeir hafa reiknað það út að kostnaður við kreditkortasvindl er lægri en kostnaður við að breyta kerfinu þannig að það sé öruggt/öruggara.

Ég vil ekki hafa háa heimild á mínu kreditkort útaf þessu. Ef það er "hakkað" þá er þak á hugsanlegu fjárhagstjóni.

[Revenant]

Hins vegar á örgjörvinn að vera "uncopyalegur" og bara Chip + PIN sem tryggir færsluna ( það er að korthafinn er kominn með ábyrgðina yfir á sig )

Sá sem trúir því að einhvað sé uncopylegt er að láta ljúga sig fullan.
Það er hægt að opna allt, bara spurning um afl, þ.e. reiknigetu og tíma.

Í raun eru örgjörvar á greiðslukortum gott sem óafritanlegir því að sjálfur dulritunarlykillinn er geymdur í svokölluðu secure element-i.

A secure element (SE) is a tamper-resistant platform (typically a one chip secure microcontroller) capable of securely hosting applications and their confidential and cryptographic data (e.g. key management) in accordance with the rules and security requirements set forth by a set of well-identified trusted authorities.

Það er ekki hægt að "lesa" lykil af secure-elementi, aðeins skrifa í það (þegar kortið er búið til). Sem dæmi um það þá eru öll SIM kort með secure element-i til að geyma dulritunarlykil á móti símafyrirtækinu (og rafræn skilríki ef þau eru til staðar).

Hinsvegar þær árásir sem hafa verið gerðar á chip&pin eru MitM árásir eða pre-play árásir.

Kortið sjálf per-se er öruggt, hinsvegar þá er ekki hægt að vera viss um að búnaðurinn sem þú ert að nota kortið í sé það.

[C2H5OH]

Að fá SMS um færslur er þetta eitthvað fyrir viðskiptavini íslandsbanka, eða bara þeir sem eru með Kredidkort, finnst þetta alveg brilliant þoli ekki þegar maður er að reyna að fylgjast með færslum á kortunum hjá sér að þetta uppfærist í heimabanka kannski 6-7 dögum eftir að færslan er gerð..

[verba]

Þarftu að borga fyrir hvert SMS?

[urban]

Að fá SMS um færslur er þetta eitthvað fyrir viðskiptavini íslandsbanka, eða bara þeir sem eru með Kredidkort, finnst þetta alveg brilliant þoli ekki þegar maður er að reyna að fylgjast með færslum á kortunum hjá sér að þetta uppfærist í heimabanka kannski 6-7 dögum eftir að færslan er gerð..

Ég var með þetta vandamál hjá landsbankanum þangað til ég fékk annað kort.
Semsagt var með Mastercard en er kominn með VISA, VISA uppfærist strax í heimabankanum hjá mér en hitt var aftur á móti í þessu bulli með nokkra daga.

[GuðjónR]

Þetta er komið í "ferli", allar líkur eru á því að ég beri ekki kostnaðinn þó fer starfsfólkið hjá Borgun varlega í allar yfirlýsingar.
Sá þetta fyrst í heimabankanum í morgun þrátt fyrir að færslunar hafi átt sér stað á mánudaginn, ekki hraðvirkasta kerfið.