Krádeže a zneužití platebních karet jsou čím dál více oblíbeným sportem novodobých loupežníků. Myšlenka využití otisků prstů při autentizaci plateb, byla v praxi ve větším měřítku realizována až před několika lety a jedná se tedy stále ještě o poměrně žhavou technologickou novinku.
Následující situaci asi zažil skoro každý z nás. Stojíte v obchodě a tiše proklínáte chvíli, kdy jste se zařadili do té nejdelší fronty k pokladně, která navíc postupuje nejpomaleji ze všech. Když už jste skoro u pokladny a doufáte, že budete brzy z obchodu venku, vidíte, že člověk stojící u pokladny podává pokladní platební kartu… Nejprve nefunguje terminál, pak majitel karty špatně zadá PIN, aby nakonec terminál kartu přijal, ale kvůli přetížení komunikační sítě s autorizačním centrem plateb trvá vyřízení platby neuvěřitelně dlouho. U vedlejší pokladny mezitím odešli tři další zákazníci… V takové chvíli si asi každý pokládá dvě základní otázky – „Mám to (nakupování) vůbec zapotřebí?“ a „Copak to (placení) nejde udělat nějak rychleji?“ Se samotným nakupováním asi nic neuděláme, ale placení u pokladen urychlit jde, někdy dokonce velmi výrazně. A právě na toto téma se teď podíváme s 21. STOLETÍM podrobněji.
Bez rizika to zatím nejde
V průběhu posledních let se i v České republice masově rozšířily platební karty, nejprve debetní (pracují primárně s penězi, které jsou reálně uloženy na bankovním účtu, k němuž je karta přiřazena), posléze i kreditní (při jejich použití využíváte vydavatelem karty předem stanovený úvěrový rámec a tento dluh posléze splácíte, přičemž kreditní karta může být vydána i bez vazby na konkrétní bankovní účet). Jejich použití je nejen pohodlné, ale v případě odcizení stačí kartu v bance zablokovat a nehrozí vám žádná finanční ztráta (tedy až na poplatek za zablokování karty, resp. vydání karty nové). Na druhou stranu však platební karty nijak výrazně nezrychlily proces placení v obchodech (v případě většího zatížení autorizačních systémů, např. v období předvánočních nákupů, ho dokonce výrazně zpomalují), ale mohou znamenat i bezpečnostní riziko pro váš účet.
Finta zvaná libanonská
V případě výběru z bankomatu musí držitel karty zadat správný PIN (personal identification number), který je přiřazen ke kartě jako její jedinečný identifikátor. Vedle PIN je platební karta vybavena i magnetickým proužkem, na kterém jsou uloženy všechny potřebné údaje pro použití karty, a podpisem držitele karty. Netrvalo dlouho a podvodníci přišli s jednoduchým nápadem, jak toto zabezpečení obejít. Princip tzv. libanonské smyčky spočívá v tom, že do otvoru pro vložení karty do bankomatu je umístěna smyčka z magnetofonového pásku, která kartu zachytí. Držitel karty se domnívá, že karta byla zadržena a odchází od bankomatu přesvědčen, že bude muset navštívit svou banku a požádat o vrácení karty či vydání karty nové. Ve skutečnosti však po jeho odchodu podvodníci kartu ze smyčky bez problémů vytáhnou. Jak ale zjistí PIN karty? Jednoduše… Současně se smyčkou „vybavili“ bankomat i miniaturní kamerou, která zaznamenala zadaný PIN na klávesnici bankomatu… Po zkopírování magnetického proužku mají v ruce dokonalou kopii původní platební karty, kterou mohou využít k vyrabování účtu majitele karty.
S čipem je to bezpečnější
Mimo jiné právě z tohoto důvodu začaly banky vydávat platební karty vybavené čipem, jehož zkopírování je podstatně obtížnější. Protože však zdaleka ne všichni obchodníci disponují terminály, které dokáží spolupracovat s čipem na platební kartě, jsou i čipové karty stále vybaveny starší technologií magnetického proužku. Pokud bankomat stále pracuje jen s touto technologií, tak vám ani čipová karta nepomůže… Podobná situace může nastat i v případě, kdy je vám platební karta odcizena a vy ji ve své bance nestihnete rychle zablokovat, nebo na to zapomenete. Pokud je karta vybavena čipem a obchodník disponuje terminálem pro čipové karty, musí být k autorizaci platby zadán PIN. V takovém případě je zneužití odcizené karty prakticky vyloučeno. Jiná situace ale nastává v případě, kdy obchodník používá terminál, který pracuje s technologií magnetického proužku. V takovém případě je totiž transakce ověřována pouze pomocí podpisu. A ten si schopný podvodník nacvičí během několika desítek minut… Samostatnou kapitolou jsou pak hrozby zneužití platební karty na Internetu. 21. STOLETÍ o tom připravuje samostatný materiál.
Krádež identity
Zkopírování platební karty, resp. její odcizení je pouze jednou z možností, jak mohou zločinci významně zasáhnout do vašeho soukromí. V posledních letech roste počet kriminálních činů, jejichž cílem je odcizit vaše osobní údaje, geometrickou řadou. Souhrnně se takováto forma kriminality nazývá krádež identity a neblahou zkušenost s ní má až překvapivě vysoké procento obyvatel vyspělých zemí. Z různých výzkumů totiž vyplývá, že obětí zlodějů identity se již někdy stalo 5 – 10 procent obyvatel zemí západní Evropy a USA. Zároveň stoupá i finanční škoda, která je touto formou kriminality způsobena. Např. údaje z Velké Británie hovoří o průměrné škodě u každého případu přes 3.000 liber, tedy přes 120.000 korun! A jak se mohou zloději identity dostat k vašim osobním údajům? Mnohdy překvapivě jednoduše. Mezi nejčastější a nejúčinnější metody patří krádež domácího počítače a následná analýza v něm uložených dat, krádež osobních zavazadel (kabelky, batohy) nebo prohledání odpadkových košů a popelnic před vaším domem… Schválně, kolikrát jste např. vyhodili mezi odpadky neznehodnocené výpisy ze svého bankovního účtu? Stále populárnější (a účinnější) se v posledních letech stává také „sběr“ osobních údajů prostřednictvím Internetu. Vedle známých metod tzv. nigerijských dopisů, phishingu nebo pharmingu (oboje jsou podvodné techniky, pomocí kterých se podvodníci snaží prostřednictvím internetu vylákat hesla, nebo čísla kreditních karet), se mohou uživatelé Internetu setkat i s falešnými nabídkami personálních agentur, které je vybízejí k vyplnění životopisů obsahujících velmi podrobné osobní údaje. Mezi sofistikovanější metody počítačové kriminality lze zařadit škodlivé programy označované jako key loggery, jejichž cílem je shromažďovat informace o přihlašovacích údajích k určitým internetovým stránkám a zasílat je určenému počítači. Samostatnou kapitolu tvoří činnost hackerů snažících se nelegálně proniknout do cizích počítačových systémů a odcizit v nich uložené osobní údaje.
Nastupují otisky prstů
Platební karty tedy pro své držitele znamenaly velký krok směrem k většímu pohodlí při manipulaci s penězi, ale zároveň s sebou nesou i bezpečnostní rizika. Není proto divu, že se stále objevují nápady, jak dále zjednodušit celý proces platby v obchodech, tak aby bylo placení nejen pohodlnější, ale také rychlejší. Netrvalo dlouho a pozornost výzkumníků se soustředila na biometrické údaje, tj. jedinečné fyziologické či charakterové vlastnosti jedince. Některé z nich lze totiž využít k automatizované identifikaci, jejíž spolehlivost je prakticky 100% a vyhovuje tak i potřebám autentizace platebních transakcí. Na prvním místě jsou to především otisky prstů, neboť identifikace konkrétního jedince je s jejich pomocí nejen velmi spolehlivá, ale také nevyžaduje žádné rozměrné či nadmíru komplikované technologické vybavení. Využití otisků prstů pro potvrzení platby se stále rozšiřuje. První společnosti, které se rozhodly tento princip komerčně využít, vznikly v USA (nejznámější jsou Pay-By-Touch a BioPay) a v současnosti tam systémy autentizace platby pomocí otisků prstů využívá již několik milionů zákazníků. V nedávné době se objevily i informace o plánech společností provozujících systémy biometrické autentizace plateb na expanzi do Evropy, prozatím však najdeme jen několik jednotlivých míst, kde tyto systémy fungují, ve Velké Británii.
Pro začátek stačí dvě minuty
Princip celého systému využívajícího autentizaci plateb pomocí otisků prstů je v zásadě velmi jednoduchý. Nejprve musíte navštívit obchod, který využívá systém ověřování plateb pomocí otisků prstů a je v něm umístěn informační kiosek příslušné firmy, která systém provozuje. V kiosku předložíte osobní doklad pro ověření totožnosti (v USA je to typicky řidičský průkaz), dále si zvolíte své osobní číslo, které budete zadávat v obchodě při placení (nejedná se o zabezpečení, ale identifikaci zákazníka, proto je pro snadnou zapamatovatelnost doporučováno telefonní číslo), platební prostředek (platební karta, účet, šek atd.), se kterým bude systém provázán, a také všechny slevové a členské karty, které chcete do systému zaregistrovat. Nakonec si necháte sejmout otisky prstů, přičemž např. společnost Pay-By-Touch vám sejme jeden otisk a společnost BioPay otisky dva. Během cca dvou minut je registrační procedura hotova a od této chvíle můžete začít nakupovat „pouze“ prostřednictvím svých otisků prstů. U pokladny zadáte své osobní číslo a necháte si sejmout otisk. Systém Vás rozpozná a nabídne vám způsoby zaplacení, které jste si vybrali při registraci. Poté, co zvolíte způsob platby, systém automaticky odečte hodnotu vašeho nákupu. Vypadá to skoro až idylicky, ale jako vždy, i tento systém má svá slabá místa.
I otisky se dají zfalšovat!
Nejprve je nutné se zaměřit na bezpečnost samotného principu autentizace plateb pomocí otisků prstů. Z různých vědeckých studií vyplývá, že pravděpodobnost chybné identifikace na základě otisků prstů je cca 1:1.000.000 a zhruba 2% populace nemají dostatečně vyvinuté otisky, aby mohly být použity k identifikaci. Nebezpečí chybné identifikace je sice téměř eliminováno díky nutnosti zadat před identifikací své osobní číslo, ale nabízí se jiná otázka – nešlo by náhodou odpozorovat něčí osobní identifikační číslo a následně zfalšovat jeho otisky..? Princip podvodu by tak byl prakticky shodný jako s podvody u platebních karet, ale jeho nebezpečnost by byla mnohonásobně vyšší, neboť podvodníci by nekopírovali jen obyčejný magnetický proužek, ale jedinečné biometrické identifikátory člověka. Že jste slyšeli, že otisky prstů nejde zfalšovat? Ale jděte… Stačí získat otisk např. ze sklenice. Tento otisk zvýrazníte pomocí prášku, stejně jako to dělají policisté při vyšetřování. Poté otisk vyfotíte, v počítači upravíte do kontrastní podoby a tu vytisknete na průhlednou fólii. Tuto fólii pak přiložíte na fotocitlivou desku, kterou následně osvítíte. Po vyvolání získáte plastický otisk prstu, na který nalijete želatinu, necháte ztuhnout a heuréka … máte přesnou kopii původního otisku. Podle různých studií takováto kopie oklame více než 80% běžně komerčně používaných systémů pro identifikaci pomocí otisků prstů. Největší nebezpečí tohoto postupu spočívá v tom, že nepotřebujete žádné zvláštní vybavení, ale stačí vám jen běžné dostupné předměty.
Jaká je cena vašich údajů?
Odcizit údaje o vaší platební kartě je při vyvinutí dostatečné snahy bohužel poměrně jednoduché. Jakou cenu ale takto odcizené informace mají? Pokud je zloděj nevyužije přímo k tomu, aby vybral váš bankovní účet, ale hodlá je prodávat dál, bude tyto informace velmi pravděpodobně nabízet na specializovaných internetových serverech. Podle zprávy společnosti Symantec, která se specializuje na vývoj bezpečnostního softwaru a které se podařilo do takovéhoto „obchodu“ proniknout, jsou odcizené osobní údaje velmi levné zboží. Např. kreditní karty se prodávají za cenu od jednoho do šesti dolarů, kompletní identita (datum narození, státem přidělené identifikační číslo, ale i číslo bankovního účtu) za čtrnáct až osmnáct dolarů. Nejvíce takovýchto serverů, specializovaných na prodej osobních údajů, se nachází v USA (51 procent), Švédsku a Kanadě.
Výzva pro hackery
Aby toho nebylo málo, objevuje se otázka, co se děje se všemi vašimi údaji poté, co jsou sejmuty při prvotní registraci. Všechny společnosti tvrdí, že údaje nejsou dostupné jednotlivým obchodníkům. Ti ale nemusí být jediní, kdo by o takové údaje mohl mít zájem. Představte si, co by znamenal úspěšný útok hackera na takovou databázi… Vždyť databáze obsahuje identifikační údaje zákazníků, čísla kreditních karet a především otisky prstů. Při samotné autentizaci platby sice nejsou využívány kompletní otisky prstů, ale soubor cca 40 významných znaků, z nichž nelze zpětně otisk rekonstruovat. Zatímco ale společnost Pay-By-Touch ve své databázi uchovává pouze soubory těchto významných znaků, společnost BioPay má ve své databázi kompletní otisky dvou prstů všech svých zákazníků (v tuto chvíli již více než 2 milionů osob).
I otisky prstů jsou částí soukromí osobnosti
A tady se nabízí tak jednoduchá a zároveň strašidelná úvaha, až mrazí. Co když bude policie, výzvědná služba nebo jiná vládní agentura hledat osobu podezřelou např. z terorismu a požádá o přístup do této databáze? Všichni lidé, kteří budou mít v databázi své otisky, budou v tu chvíli podezřelí a jejich otisky budou porovnávány s policejní databází. Hranice mezi policejní databází odsouzených osob a lidí, kteří si pouze chtěli usnadnit nakupování v obchodě, tak v tu chvíli zmizí… Na tomto místě je nutné znovu připomenout, že soukromí je to nejcennější co máme, a jakmile o ně jednou přijdeme, naše šance na jeho znovuzískání jsou v dnešní moderními technologiemi nabité společnosti téměř nulové. Proto je vždy dobré několikrát si rozmyslet, komu dáme své osobní údaje a zda se nám to skutečně vyplatí tak, jak je nám slibováno. Abychom totiž někdy v budoucnu svého rozhodnutí nelitovali…
