Бывает такое, что привычная, казалось бы, вещь, встречается с такой
изюминкой, после которой начинаешь смотреть на эту вещь совершенно
иначе. Так случилось и у меня… пару лет снимал деньги с карточки в
сотне мест и бед не знал… а тут приехал в один городок и в первом же
банкомате мне повстречалась эта самая изюминка. Причем место и
обстоятельство были такими, что за пару мгновений пищи для размышления
и впечатлений накопилось недели на две вперед.
Я почему-то думал, что это может быть только в стране вечнозеленых
президентов, а у нас – просто нет кадров, чтобы заниматься этим.
Оказывается, я глубоко ошибался. Просто не каждый день встретишь то,
про что читал только в журналах/интернете или видел в фильмах [ кстати,
не помню ни одного фильма, где бы фигурировал скиммер :) ].
Что такое скиммер? Если сделать запрос в яндексе, то из первых строк
станет ясно, что это какой-то насос для очистки бассейнов. Но сами
посудите – насос и банкомат… что-то не то. Хотя, насосом качать бабки
из банкомата – вполне )
Не вдаваясь в историю происхождения названия, скиммер – это небольшое
устройство, которое может помочь злоумышленникам воспользоваться Вашей
пластиковой карточкой.
Те, кто в теме, сейчас наверное читают и хихикают над моей трактовкой, но это первая трактовка, что пришла мне в голову.
Скиммер обычно состоит из двух элементов – накладной клавиатуры (пин-пад) и сканера магнитной ленты карты.
Пин-пад аккурат размещается поверх родной клавиатуры банкомата и
позволяет злоумышленникам узнать Ваш пин-код (для этого так же может
использоваться миниатюрная камера), сканер же вешается поверх щели
приема карт. Причем, маскировка делает свое грязное дело.
Вы вставляете карточку в банкомат (не подозревая, что вставляете ее в
сканер карт злоумышленников, после которого карточка попадает в нужную
Вам щель банкомата) – вуаля, данные о вашей карте (дамп) уже либо на
устройстве хранения данных в сканере, либо по беспроводному интерфейсу
уже переданы кому-то. Дальше Вы вводите пин-код, который так же либо
сохраняется, либо сразу отправляется. Все, для того чтобы пользоваться
вашими деньгами, остается всего лишь изготовить дубликат карты, что
делается, судя по всему, достаточно легко – используя дамп,
программируется безликий кусок пластика и готово.
Кстати, гораздо хуже, если никакого накладной клавиатуры на устройстве
приема карт банкомата нет или просто кто-то палит, как вы вводите
пин-код. Еще хуже, если при этом вы вышли из своего намытого до
зеркального блеска Audi Q7 (99, третий бумер, лансер – нужное
подчеркнуть), в мажорной дубленке, с гарнитурой, но без каски. В таком
случае есть все шансы тупо получить чем-то тяжелым по голове и с таким
же успехом отдать деньги с карточки. Но этот случай не так интересен –
гоп-стоп был везде и всегда.
Несмотря на то, что всегда смотрю на банкомат, прежде чем вставить
карту, в тот раз я ее вставил. Были не одни, было не до банкомата.
Хотел было вводить пин-код, как заметил, что клавиатура не плоская, а
выпуклая, как быть не должно. Сравнив быстро пальцем фактуру клавы и
банкомата, мысленно пытаюсь убедить себя, что все ок. Через секунду
говорю друзьям:
— Блин, походу скиммер.
Замерли. Поддеваю ногтем клавиатуру… сначала вошел ноготок, потом
палец…сплошной секс ). Когда я понял, что клава отходит, я решил, что
сломал банкомат и что под кнопками ничего не будет, а я тупо приклею ее
обратно и сниму деньги.
Подняв клаву, мы обомлели – там была точная копия нашей клавы, только идеально ровно встроенная в поверхность банкомата.
— Ё-маё, Бурумыч, скиммер! Скиммер, мать его! О Боги, я первый раз такое вижу, поверни, дай сфоткаю!
— Да, тоже первый раз вижу. Только мой дамп уже там, а должен быть чей-нибудь ваш )
Перевожу взгляд на картоприемник – уже ничего не соображая, пытаюсь
вытащить карту. Ничего не выходит. Вспоминаю про кнопку «Отмена», жму –
карта вылазит. Хух.
Поддевая ногтями выпирающий картоприемник, он так же отходит – от чего
жути только прибавилось. Пару секунд рассматриваем устройство – горят
какие-то лампочки, батарейка, аккуратная пайка… да, видно, что этим
вопросом занимаются серьезно. Еще через мгновение нас всех одновременно
посещает мысль, что больше нам находиться тут не стоит )
Дальше все как в фильме ) Менты пообещали прибыть в течение часа, что в
нашем случае, естественно, нам уже не делало никакой погоды. Скиммер
мирным путем вернулся законным владельцам ) А мы, понимая, что ходим
под Богом, телепортировались.
В общем, примерно такие были эмоции при первом знакомстве. Что же за пищу для размышлений мы тогда получили?
Во-первых, это было первое практическое занятие – узнали как выглядит,
что из себя представляет, кем и как охраняется. Весь текст дальше –
догадки.
Из недостоверных источников, цена за комплект устройства подобного типа
(сами железки, программное обеспечение и т.п.) стоит порядка 3-5 тысяч
долларов (несмотря на то, что ничего сверхъестественного там нет), что
уже как минимум является причиной не оставлять девайс без присмотра.
Цена зависит от конструкции и от комплектации. Что-то может автономно
долго работать, что-то хранить дампы у себя на карте памяти, что-то –
сразу передает информацию владельцам (экзотика).
Цитата с какого-то сайта: «Информация о скиммерах появлялась в
новостях уже не раз, но устройства совершенствуются с каждым днем. На
этот раз скиммеру уже не нужно подходить к банкомату, чтобы снять
информацию — она высылается через СМС. Устройство может отправить до
1856 СМС на одной подзарядке. Стоит 8,5 тыс долларов. Причем краска для
внешних деталей покупается на тех же заводах, что и производители
банкоматов, учитывается температура, угол наклона, время покраски. На
первый взгляд отличить практически невозможно.
Единственное НО… Если сотрудники банка оперативно среагируют и
отследят сим-карту злоумышленника, то поймать его, возможно, будет и
проще…»
Следовательно, где-то в пределах прямой видимости точно кто-то есть,
даже если Вы его не видите. Зато видят Вас, например, из тонированной
девятки через дорогу ;) Так как работа наблюдающего, по сути – охрана
объекта, то я почти уверен, что и пропорции у него – как у достойного
охранника ;)
Если Вы считаете, что обдурили всех, отодрав скиммер и убежав – не
спешите радоваться. Могут по дампу найти, могли и паспорт выронить –
всякое бывает ;) зато потом хэппи энда может не случиться. Так что
подумайте, стоит ли вообще связываться – может проще снять деньги в
другом месте?
Дальше можно поразмышлять о местах обитания скиммеров. Понятное дело,
что идеальное место – там, где больше народу, причем не студентов со
стипендиями, а нормального такого народу. Думаю, скиммер вы сможете
встретить у вокзалов, аэропортов, казино, кафешек, кино, магазинов
техники и прочих горбушек – одним словом в местах, где людям требуется
снимать побольше денег.
Побродив пару часов по совку и горбушке, пройдя пару вокзалов – я так
ничего интересного и не нашел. Отсюда, снова напрашивается вывод, что
устройства находятся на своих местах не всегда.
Предполагаю, что сначала дядьки выясняют, в каком режиме обслуживается
рыбное место – в какие дни и в какое время приезжают инкассаторы
загрузить деньги, во сколько они проезжают и так далее. Т.к.
инкассаторы наверняка каждый раз разные, то надеяться на их гуманность
к скиммеру злоумышленнику не стоит. Поэтому, вероятно, скиммеры
приклеивают и снимают по несколько раз на дню.
Но отсюда опять что-то да вытекает. Даже у самого одинокого банкомата
обычно стоят камеры, за которыми кто-то да должен наблюдать из служб
безопасности. А про банкоматы в отделениях банка я вообще не говорю.
Таким образом, я не поверю, что каждый раз, вешая девайс на банкомат,
этого никто не замечают и ничего не предпринимают. Да, злоумышленник
может на пару секунд прикрыть собой камеру, успев сделать свое дело… но
это же должно происходить несколько раз на дню!?! Думаю, даже постоянно
вешать устройство и не надо – достаточно пару часов повисеть в один из
вечеров праздничного дня.
Какой отсюда же напрашивается вывод? А такой, что все об этом прекрасно
знают. И если девочка на ресепшене должна просто закрывать на это
глаза, то владельцы банков наверняка живут не только на проценты
вкладчиков =) иначе смысла разводить такую кормушку у себя под носом у
них нет. Таким образом, еще раз доказывается отношение банковской сферы
к обычному пользователю, честному, порой, человеку. А жаль )
Как-то зайдя в банк, на входе мне встретился охранник, который выходил
покурить. Недолго думая, я решил поговорить с ним – вот такой у нас
вышел диалог:
— Здравствуйте, хотел задать пару вопросов по безопасности банкоматов. — Попробуй.
(в лоб) — Вы в курсе, что такое скиммер? — Мм, слышал, а что? — Недавно первый раз встретил такое
устройство – обнаружил его только тогда, когда карточку уже вставил, но
код не ввел. Могут ли, не зная пин-кода, расплачиваться от моего имени,
например в интернете или простых магазинах? — Вот это, честно, сказать, не знаю. Но береженого бог бережет –
зайди, вон, да поменяй код, это 10 минут займет. А где встретил
штуковину-то?
— Там-то. Но, честно сказать, был удивлен – думал, что такое только в штатах, а пишут про них только в журналах. — Хех…в штатах =) ты же в России живешь. Пока американцы что-то
придумывают, у нас уже сделают «анти». У них вирусы, у нас уже
антивирусы и наоборот. Так что в стране желания грести деньги, ничего
не делая, таких устройств не может не быть.
— Даже так! И много у нас… по Москве? — Да хватает. Ты вот где живешь?
— Там-то — Ну… недалеко от меня. Поискать – найдешь ;)
— Интересно. И чего ж с ними никто не борется? — Да как не борются… борются. Просто раз они есть, значит это кому-то надо.
— Верно, нет дыма без огня. А как начальство банков к этому относится, они в курсе?
(Взбодрившись) – Конечно! )
— Вах. Т.е, получается, что не убирают хотя бы только потому, что начальству это тоже выгодно? (Улыбаясь) – Ну… всяко бывает. А тебе это вообще все зачем?
— Да вот, столкнулся случайно, хотел узнать. — Смотри, осторожней. У вас вот есть какое-нибудь правоведение в институте?
— Нет, но что-то подобное было. — И что, не учили, какие вопросы и кому можно задавать, а кому какие – нет?
— Не учили, но я к вам исключительно в мирных целях ;) — Да понятно. Просто иногда, задав безопасный, казалось бы, вопрос,
можно вызывать неадекватную реакцию. То же самое и с поведением. Знал
вот, что по банкомату стучать нельзя?
— Неа, а что, в ответ бьёт? ;) — Нет. Но это уже может попасть под порчу имущества. Так у нас на
днях зашел один пьяный, стукнул – приехал фургон, скрутили и забрали.
Там же датчиков полно внутри… и пойди докажи, что ты его не взломать
хотел.
— Серьезно у вас тут. Ладно, давайте вернемся. Расскажите что-нибудь про их устройство, как крепят, как обслуживают? — Ну а чего тут рассказывать. Как устроены, не знаю точно, но
обнаружить не так уж сложно. Это бабулькам 80-летним, которых
государство все это время нае*ывало, уже не понять этих приколов, а ты
если видишь, что что-то торчит – не суй и все, сними в другом месте.
— А если оторвут и смотаются? — Ну оторви =) Сам понимаешь, такие вещи не без присмотра… не
сразу, так потом где-то найдут. Похлопают по плечу, сам не заметишь.
— Интересно… и что, совсем никому нет дела до этого всего? — Ну почему… бывают, иногда, показательные выступления – проезжают
спецы, всем, кому надо пальцы загнут для галочки… а потом снова все на
свои места встает.
— А у вас тут было чего интересного? — Неа, это больше на банкоматах без банков, хотя всякое бывает.
— А, ну у вас-то тут банк вон, да… — Максимум бывало, что деньги выхватят… но это ведь опять, чья
ошибка? Вон, глянь… вышел с пачкой денег… чего вот не спрятать сразу,
не убрать? Пересчитать же потом можно… или пин-коды вводят, не
закрываясь… а подсмотреть тысячей способов можно. А потом жалуются…
— Где ж ваш автомат-то? ;)
(улыбаясь) – Да я вон, на танке сегодня. Далеко не убегут, если что ;) Ладно, давай, не май месяц, пойду. Мотай на ус.
— Успехов, благодарю!
В общем, вот такой диалог вышел, но конкретики почти никакой. Позже
случайно мне удалось найти в сети человека в теме, которого повторно
найти никак не удастся ) Я не занял у него много времени, но все же,
немного информации, опять же подтверждающей мои догадки, появилось:
Я: Какие бывают по типам (способ хранения, способ передачи,
питания)? Какие бывают по размерам? Какие примерно цены и от чего
зависят? Откуда берутся – делают ли их серийно? Он: Каждое устройство индивидуально по сути — затачивается под
конкретный АТМ, т.к. основное требуемое свойство — незаметность.
Серийно их никто не делает, т.к. это все же уголовно наказуемое деяние,
но это не значит, что их все делают вручную. Цена на скиммер «под ключ»
— от 5000 и выше. В основном это автономные устройства со встроенной
памятью — «поставил, подождал, снял», вариантов с передачей данных у
меня не было, но очевидно, что это гораздо безопаснее для владельцев.
// Тут собеседник не рассказал про размеры девайсов, но я нашел пару
интересных изображений в интернете. Да-да, даже такая вот «зажигалка»
(правильнее, «Кубик») в руке человека рядом с Вами в состоянии утянуть
Ваше состояние.
Я: Как их крепят? Бывает тупо поверх клавы и щели. Но слышал, что чаще просто ставят камеры. Может еще что-то придумали? Он: Все верно — в простых моделях крепится только на
картоприемник + камера для снятия пинкода. Способов крепления камеры
достаточно много.
// Окинув взглядом фотку банкомата, прикидываю, куда можно было бы
спрятать камеру. Если это не «дополнительная» камера в банке, которая
выглядит как настоящая, то вариантов остается не так много. Если
человек высокий ростом, то камеру можно приклеить к верхней части АТМ,
выпирающей над клавой – просто так их не увидишь, но слегка нагнувшись
– легко. Или же можно повесить свою «лампу» для освещения, в прозрачный
пластик которой спрятать «зёрнышко» от камеры (видели, каких размеров
камеры в некоторых видео-домофонах? “.” – чуть больше этой точки)
Или вот как на фотке из инета – в коробочке для рекламок, изначально награжденной только информационной функцией.
Ну или ваш код могут тупо подсмотреть рядом стоящие люди ;) Поэтому
зеркала на банкоматы клеят неспроста. Заботящиеся о клиентах банки на
свои АТМ так же ставят специальные «заборы» на клавиатуру, которые
помогают не палить код.
Я: Где чаще всего бывают – в закрытых или открытых банкоматах?
Может какие-то банкоматы или банки особенно безответственно относятся к
этому, а какие-то — дорожат клиентами? Излюбленные места обитания? Где
больше — в Москве или Питере?
Он: Предпочтительнее открытые банкоматы. Чем больше проходимость
народа — тем лучше. Насчет банков – хз. Любой фрикер тебе этого не
скажет или заведомо «поменяет» нужные названия банков местам ;) Следят,
конечно, все, но говорить о том что их АТМ заскиммили не будет никто.
Где больше – имхо, в Питере. Но и в Москве, конечно, тоже хватает.
Снова я: Еще немного по ценам – купить можно только в инете или
в супермаркетах тоже продаются? ;) Что в этом случае меняется? Что
делать человеку, если он снял скиммер? )
Он: Готовый комплект, купленный на Митино или еще где — в 99%
окажется нерабочим или уже использованным, и то, трудно найти то, что
тебе надо. В интернете народ гораздо охотнее идет на контакт, но точно
так же можно купить не то или же по завышенной цене. Цена, опять же,
под заказ — от 5000. Если удалось снять скиммер — дело за малым — слить
оттуда инфу и продать ее кардерам. Или дропам. Самому сливать денежный
эквивалент — равноценно явке с повинной в органы.
// Хм, что-то опять эта цифра в 5K usd ;) На форумах же предложения совершенно разнятся – от 1К до 15.
Я: Кто вообще этим занимаются — ведь не просто
пионеры-радиотехники? Как их устанавливают — под камерой банкомата
каждый день ставят с утра и снимают перед приездом инкассаторов? Или
даже они не помеха? ) Он: Кто занимается? Умные и осторожные фрикеры (не путать с
фриками – моё прим.). Самый распространенный способ установки — после
приезда и отъезда инкассаторской группы, через 5-10 минут «группа»
возвращается. и опять уезжает. Схема приемлема для ОПГ, которые могут
позволить имитировать спецодежду мастеров. Более простой вариант —
установка на вечер-ночь, т.е. людей мало, инкасса не приедет
гарантированно до утра (время приезда вычисляется простым наблюдением),
но и безопасность выше. Еще устанавливают и снимают скиммеры обычно
«шумной группой студентов», т.е. толпа окружает банкомат («блокирует
лохов»), ставится скиммер… ну и варианты по фантазии…
Я: Хочется каких-то цифр ) Их риск хотя бы оправдан — насколько
прибыльная такяа рыбалка? Или если не в баксах, то хотя бы в количестве
дампов. Как часто тырят скиммеры? )
Он: Цена свободы у каждого разная, кто-то рискует, кто-то нет.
Но не всегда же обязательно все делать самому ;) не обижай с % и все
будет. Количество дампов = количеству карт вставленных в АТМ. Улов —
никто никогда не говорил конкретных цифр. Но окупается не только
аппарат, но и хватает на новый. Может слышал песню «В ресторане обеды,
в доме нету соседей, а БВМ 7-ой серии — удачнее велосипеда» :)
Я: Слышал ;) А что вообще делают с дампами, каков их дальнейший
путь? Нужно ли человеку менять пин-код, если он только вставил карту,
но не ввел код? Как быстро дамп попадает «в темные руки» и сколько у
человека есть времени на спасение бабосов? Дальше делают копию карточки
или что вообще можно сделать, имея дамп со снятым пином? Как долго
занимает расшифровка или это дело 5 секунд?
Он: см выше — их сливают кардерам или дропам. У кого какие
контакты есть. Если пин не введен — менять его не нужно. Дамп попадает
в руки дропов обычно через сутки-двое после снятия скиммера. Но если
«операция» прошла успешно, человек узнает о том что с его счета ушли
деньги только по смс-банкингу или при следующей проверке карты.
Расшифровать что? Дамп? Дамп не расшифровывают. Его просто клонируют.
Да, у дропов есть аппараты по клонированию карт (тоже дорогое
удовольствие).
Уже не так все двусмысленно, как в первом диалоге, но тем не менее,
картина все четче рисуется. Дали бы мне рукописи Да-Винчи, я бы их в
миг разгадал ;)
Полазив в инете по различным форумам, был удивлен тому, сколько же
информации в свободном доступе. Схемы, распайки, прошивки, мануалы,
пошаговые инструкции и помимо этого, самое главное – люди, обладающие
самым ценным – знаниями, информацией.
Схема считывающей головки сканера
Схема GSM-скиммера
Просто так, естественно, никто ничего не расскажет ) Мне даже
двусмысленно не решились что-то рассказать, это же их хлеб. С другой
стороны – всех денег не обналичить, а кто-то в нашей стране до сих пор
зарабатывает честно. Так и получается – с одного конца провода — люди,
боящиеся погонов, с другого – люди, боящиеся потерять деньги. И все же,
не стоит забывать, что кто-то еще да работает честно.
Какие из этого делать выводы, каждый для себя делает сам ;) Для тех же,
кому лень додумать, дам пару советов, которые помогут не потерять
бездарно последние купоны на карточке:
1. Прежде чем подойти к банкомату, оглянитесь. Пьяны, заметили
что-то странное-подозрительное – отложите съем до лучших времен. Не
паранойи ради, безопасности для – оглядывайтесь по сторонам так же, как
и при переходе через дорогу.
2. Вы должны четко знать, как выглядит банкомат Вашего банка
(если не снимаете деньги с комиссией со всего подряд). В большинстве
своем они имеют: НЕвыпирающую из ровной плоскости клавиатуру, плоскую
или вдавленную щель приемника карт. Если видите, что клавиатура
выпирает хотя бы на пару миллиметров или картоприемник торчит наружу –
снимите деньги в другом месте. Если надумаете проявить отвагу и решите
позвонить, неважно, куда – в 02 или в службу банка – делайте это не у
банкомата!
3. Вставив карточку не спешите вводить пин-код – осмотритесь еще
раз =) Ни-че-го нестандартного на банкомате быть не должно. Если кто-то
рядом стоит, вводите код так, чтобы его не увидели.
4. Сняв деньги, не размахивайте ими на право и налево. Вытащили
карту > убрали > вытащили деньги > быстро пересчитали и сразу
надежно убрали > взяли чек > испарились.
5. Однажды вам могут позвонить якобы из банка и сказать: «Здравствуйте,
укважаемый Лошидзе Баобаб Бабосович, вас беспокоит служба безопасности
Вашего банка. В целях безопасности наших клиентов, мы переводим их с
4-значного пин-кода на 6-значный. Просьба сообщить Вас нынешний пин-код
и новый желаемый или же то же самое проделать, придя к нам в банк».
Естественно, переться и возиться с бумажками многим будет лень,
поэтому, смею предположить, что добрая половина тупо скажет свой код.
Поэтому…. НИКОГДА и НИКОМУ не говорите свой пин-код! Ни тётям в
магазине на кассе, ни, тем более, дядям. Даже работники банка – от
тёток на ресепшене до совета директоров – ни под каким предлогом. У них
и без этого полно вариантов на тему как оставить вас без штанов :)
6. Если Вас уже бьют – громко кричите — их больше ;=)))
На десерт – пара фоток, как может выглядеть ваш похититель:
Шутко )
1. Клавиатура может выглядеть так:
Обычно кнопки – плоские, но бывает, что и кнопки выпирают… Не-не-не, в них точно ничего нет, это уже точно паранойя… или… :)))
2. Картоприемник:
Девайс на последней картинке вызывает у меня некоторые сомнения – с
одной стороны, ее правая часть свободна (часть, где окажется магнитная
лента), т.е. по сути, сканера там уместиться не должно и этот девайс, в
итоге – так называемый антискиммер. Но здесь он сделан настолько ужасно
(в том числе и по исполнению), что от скиммера его не отличить. Или же
его можно оторвать и приклеить на его место скиммер… в общем, глупость
сделали )
Насчет антискиммеров — обезопасить картоприемник банки могли бы без
проблем – использовать абсолютно плоскую щель, специальные неровности,
мешающие установке поверх любого объекта – но опять же… хотели бы –
сделали ) Вот примеры попыток усложнить жизнь:
(Тоже глупая, на самом деле, затея, т.к. скиммер замаскировать под
такое дело легко, зато даже сам по себе антискиммер опять же уже
наводит на какие-то мысли)
Иногда можно встретить наклейки или стенды «как должен выглядеть
банкомат», и, мол, если он выглядит иначе, не пользуйтесь им. Понятное
дело, что поверх этого можно наклеить-повесить что угодно :) ВСЁ, лишь
бы не работать! )
