Кража беспроводной идентификации

Кража беспроводной идентификации — это относительно новый способ добычи персональной информации с карт, оснащённых радиочастотными модулями, которыми могут быть карты доступа, кредитные, дебетовые и государственные удостоверения личности^[6]. Каждая такая карта содержит радиочастотный чип, который откликается на определённые частоты. При воздействии радиочастот такие чипы (или «метки») возвращают изменённый сигнал, в котором могут содержаться закодированные персональные данные — такие как имя владельца, адрес, номер социального страхования, телефон, а также реквизиты счёта или персональные сведения сотрудника^[7].

Получив (или «собрав») такие данные, злоумышленник может запрограммировать другие карты на схожий отклик («клонирование»). Существуют многочисленные сайты, обучающие этим приёмам, а также предоставляющие необходимое оборудование и программное обеспечение^[8][9].

Финансовые компании постепенно переходят от использования магнитных полос на кредитных и дебетовых картах, требующих физического считывания с помощью магнитного устройства, к бесконтактным технологиям. Это позволяет увеличить количество транзакций в минуту и совершать больше операций за меньшее время, что потенциально сокращает очереди на кассе^[10].

Академические исследователи и «белые хакеры» анализировали случаи несанкционированного сбора информации с кредитных карт с поддержкой RFID и встретили как отрицание проблемы, так и критику со стороны организаций, выпускающих такие карты^[1][11]. Тем не менее, после публикации фактов, что украденные сведения могут быть считаны дешёвыми сканерами — даже через конверты с картами, а также при атаках с машины или с близкого расстояния, производители доработали меры безопасности: имена владельцев карт и другие данные удалялись из передаваемой информации, а полностью нешифрованные карты стали использовать шифрование^[1][11].

Вопросы, поднятые в докладе 2006 года, были актуальны из-за десятков миллионов уже выданных карт^[1][11]. Данные кредитных и дебетовых карт могли быть украдены с помощью специальных дешёвых радиосканеров без физического контакта с картой (она могла оставаться в кармане, сумке или конверте у пользователя)^[1][11]. Среди результатов исследования 2006 года «Уязвимости кредитных карт первого поколения с поддержкой RFID» и сопутствующих работ:

• у некоторых карт сканированием получали имена владельцев, номера и сроки действия^[1][11];
• максимальная сканирующая дистанция, обычно измеряемая в сантиметрах или дюймах, может увеличиваться с помощью технических средств до нескольких футов^[1][11];
• без специальных доработок, злоумышленники в людных местах или даже рассыльщики флаеров могли собирать такие данные прямо с карт и конвертов^[1][11];
• специалисты по безопасности были удивлены масштабом нарушения приватности (в 2006 году)^[1][11];
• электронные платёжные системы (например, брелок Speedpass от ExxonMobil) использовали слабо защищённое шифрование, взламываемое за полчаса вычислений^[1][11];
• некоторые карты при сканировании возвращали настоящие номера и не использовали токены^[1][11];
• полученные у некоторых карт данные можно было использовать для осуществления покупки без проверки кода карты в интернете^[1][11];
• несмотря на развитие технологий безопасности для RFID-карт, лишь банки решают, насколько защищёнными будут карты^[1][11];
• каждая из 20 протестированных карт оказалась уязвима хотя бы к одному способу атак^[1][11];
• подобную опасность представляют и биометрические электронные паспорта, использующие RFID-метки — как и карты, они также подвержены рискам кражи и клонирования данных^[1]; правительство США выдаёт такие электронные паспорта с 2006 года^[5][11].

В ряде сопутствующих докладов упоминается угроза слежки и агрегации информации о передвижениях граждан со стороны поставщиков карт, сторонних организаций и даже государства (так называемый эффект «Большого брата»)^[12]. Согласно экспертам, RFID-технология может стать «самой навязчивой потребительской технологией», вмешивающейся в личную жизнь^[12].

Компании-эмитенты платёжных карт отрицали факты кражи бесконтактных данных, ссылаясь на:

• наличие дополнительных средств защиты и антифрод-технологий помимо самой информации карты^[11];
• выборка 2006 года была мала (20 карт) и не отражала общую ситуацию, поскольку в большинстве карт используется гораздо более надёжная защита^[11];
• даже если на нешифрованных картах были имена и номера, этого недостаточно, поскольку реальные транзакции защищены современным шифрованием^[11];
• при совершении кражи беспроводных данных или мошенничестве с кредиткой, держатели карт не несут финансовой ответственности^[11] (однако последствия для вовлечённых в аферу лиц этим не ограничиваются).

После публикации результатов исследования все компании, упомянутые в расследовании The New York Times, заявили об удалении имён держателей карт из передаваемых по RFID данных^[5][11].

Некоторые официальные документы и удостоверения, выдаваемые правительством США (паспорта, паспортные карты, а также специальные удостоверения водителя в штатах Нью-Йорк и Вашингтон) содержат RFID-чипы, что, по замыслу, должно помогать сотрудникам охраны границы^[13]. Тем не менее, выявлены уязвимости: злоумышленники способны считывать идентификатор с расстояния и клонировать такие документы, подделывая личность^[13].

Устройства с RFID-протоколом несут потенциальные риски, включая угрозу частичной утечки персональных данных: хотя сам идентификатор не содержит открытых персональных данных, по мнению специалистов, «номера со временем эволюционируют, и возможности их использования могут превосходить первоначальные ожидания», — отмечал профессор Тадаёси Коно из Университета Вашингтона, участвовавший в анализе подобных документов^[13].