Brottslingar kan tömma ditt konto medan kortet fortfarande ligger i plånboken

Det behövs bara ett enda oförsiktigt köp eller ett uttag i en bankomat. Kriminella kan tömma ditt bankkonto även när ditt kort fysiskt befinner sig i din plånbok.

Under flera år har attacker mot betalkort ökat stadigt – både vid bankomater och i nätbutiker. Metoderna blir allt mer sofistikerade och är ofta helt osynliga för den vanliga användaren. Resultatet brukar vara detsamma: tusentals kronor försvinner från kontot, och kortinnehavaren upptäcker det först i efterhand.

Från primitiva påsatser till osynliga enheter

Experter inom cybersäkerhet varnar för att den teknik som kriminella använder idag är mer avancerad än någonsin tidigare. Där det förut handlade om grova påbyggnader på bankomater använder angriparna numera miniatyriserade enheter som är tunna som ett kreditkort, eller skadlig kod gömd i webbsidors programkod. Dessa kan stjäla dina kortuppgifter på några sekunder utan att du märker att något överhuvudtaget händer.

Forskare från europeiska universitet med specialisering på datasäkerhet har följt utvecklingen på detta område under längre tid. Deras analyser visar att antalet kortstölder växer med tiotusentals procent varje år. Särskilt sårbara är mindre nätbutiker som inte har resurser för regelbundna säkerhetsgranskningar av sina plattformar.

De första formerna av kortdatastöld handlade främst om bankomater och självbetjäningsterminaler – exempelvis vid bensinstationer. Kriminella monterade speciella påsatser som efterliknade maskinernas originalkomponenter. Påsatsen läste data från magnetremsan medan en miniatyrskamera ovanför tangentbordet spelade in den inmatade PIN-koden.

I nyare versioner skickar sådana enheter informationen trådlöst via Bluetooth eller liknande anslutningar. Det innebär att tjuven inte behöver komma tillbaka för att hämta själva apparaten – uppgifterna strömmar kontinuerligt till hans telefon eller bärbara dator. Polisen i både Danmark och grannländerna upptäcker regelbundet grupper som specialiserat sig på denna typ av brottslighet.

Hela mekanismen bygger på att en vanlig person inte kan se skillnad på en originaldel av en bankomat och ett precisionsframställt falskt hölje. Tillverkarna av dessa bedrägliga enheter opererar ofta i organiserade internationella nätverk och förbättrar ständigt sin teknik. Materialen är idag så kvalitativa att även erfarna användare kan luras.

Europeisk polis genomför regelbundet insatser mot organiserade grupper som specialiserat sig på denna typ av stöld. Mönstret är vanligtvis detsamma: komprometterade bankomater eller terminaler vid bensinstationer, medan uttagen och köpen genomförs i ett annat land – ofta på en annan kontinent.

Tunnare än papper – den nya generationen chipattacker

Kort med chip har gjort enkel kopiering av magnetremsan betydligt svårare. Chippet genererar en unik kod för varje transaktion, så vanlig kloning av lagrad data räcker sällan. Kriminella har därför utvecklat en mellanliggande lösning: ultratunn moduler som skjuts in i kortläsaren och är osynliga utifrån.

Dessa moduler avlyssnar kommunikationen mellan kortet och terminalen i betalningsögonblicket. De insamlade uppgifterna ger sedan möjlighet att tillverka falska kort med magnetremsor och använda dem i länder eller vid bankomater som fortfarande tillåter transaktioner i nödläge utan fullständig chipverifiering. Forskare från universiteten i Amsterdam och Zürich har beskrivit ett flertal sådana fall i sina studier om betalningssäkerhet.

Den största fördelen för kriminella idag är att deras utrustning är praktiskt taget osynlig för personer som använder bankomater och terminaler. Enheterna är tillverkade med sådan precision att det nästan är omöjligt att upptäcka dem med blotta ögat. Ibland är de bara några millimeter tjocka och smälter perfekt samman med automatens originaldesign.

Ett ytterligare problem är att ägare av bankomater ofta inte vet att en bedräglig enhet är installerad, ibland i veckor eller månader. Under mellantiden kan angriparna samla in data från hundratals till tusentals kort. Först när kundklagomål om obehöriga transaktioner börjar hopa sig inleder operatören en undersökning.

Det nya slagfältet – kortstölder i nätbutiker

En markant trend de senaste åren är att bedrägeriet flyttat från fysiska bankomater till internet. Nätbutiker har blivit ett idealt mål eftersom en framgångsrik infektion ger möjlighet att fånga upp kortuppgifter från tusentals kunder. Cyberkriminella riktar särskilt sina attacker mot mindre e-handelsbutiker som inte har team av IT-specialister.

Mekanismen är förvånansvärt enkel. Angriparna injicerar ett skadligt skript på betalningssidan. Det kan bokstavligen vara några rader JavaScript som inte syns vid första anblicken. När kunden matar in kortuppgifterna – nummer, utgångsdatum, tresiffrig säkerhetskod – skickar skriptet dem i hemlighet till en server som kontrolleras av angriparna.

Forskare från universitetet i München analyserade hundratals sådana attacker och fann att den genomsnittliga tiden från att en butik komprometteras till problemet upptäcks är sex till åtta veckor. Under denna period kan kriminella samla in tiotusentals kompletta kortuppgifter. Uppgifterna säljs sedan på underjordiska forum, där ett komplett uppsättning information kostar mellan fem och femtio dollar beroende på kortets kreditgräns.

Angripare komprometterar e-handelsplattformar som används av tusentals butiker samtidigt
Skadlig kod maskerar sig som vanliga analysverktyg som Google Analytics
Kortuppgifter skickas till servrar i länder med eftergiven lagstiftning
Kriminella testar stulna kort med små belopp innan de genomför stora uttag
Falska kort används sedan i länder med lägre säkerhetsstandarder
Butiker upptäcker ofta attacken först efter månader via kundklagomål
Den genomsnittliga skadan per drabbad kund uppgår till tre till åtta tusen kronor
Polisen uppskattar att endast omkring tjugo procent av dessa attacker upptäcks

Attacker via leverantörer av externa tjänster

Många nätbutiker använder färdiga e-handelsplattformar, analys- och reklamplugins. För kriminella är detta en enorm möjlighet. Istället för att attackera en butik i taget försöker de ta över kontrollen över leverantören av ett sådant tillägg. Detta tillvägagångssätt har visat sig vara extremt effektivt.

Om det lyckas infektera ett verktyg som används av tusentals webbplatser sprids den skadliga koden omedelbart till hela nätverket av butiker. De senaste åren har man dokumenterat attacker där denna metod resulterat i stöld av hundratals miljoner kortnummer, inklusive från europeiska butiker. Forskare från Queen Mary University of London har dokumenterat ett flertal sådana massiva kampanjer.

Problemet är desto allvarligare eftersom många ägare av små e-handelsbutiker inte alls vet vilken kod som körs på deras sidor. De litar på plugin- och plattformsleverantörer utan att göra egna säkerhetskontroller. När kunddata sedan läcker är det sällan någon som snabbt kan identifiera problemets källa.

Organisationer inom cybersäkerhet rekommenderar butiksägare att granska alla externa tjänster regelbundet. Men verkligheten är att de flesta operatörer av mindre e-handelsbutiker varken har tid eller resurser för det. Detta skapar ideala förutsättningar för en ständig våg av attacker.

Skript gömda i bilder och på felsidor

För att göra upptäckten svårare hittar angriparna allt mer kreativa sätt att dölja kod på. Det händer att skadliga fragment sys in i sidans små ikoner eller utger sig för att vara populära analysverktyg. Säkerhetsexperter från Tel Aviv Universitet har beskrivit dussintals sådana fall.

Det finns även dokumenterade kampanjer där angripare diskret ändrade felsidan ”404 – sida hittades inte”. En sådan undersida väcker normalt inte misstankar hos administratörer och övervakas svagt av säkerhetssystem. Kunden såg ett till synes normalt betalningsformulär, och efter att ha matat in uppgifterna var kortet redan kopierat.

Till slut visades ett meddelande om ett ”sessionsfel” som förklarade behovet av att upprepa transaktionen. I användarens ögon var det bara ett irriterande felmeddelande. I verkligheten kunde kortet just ha hamnat i en databas som säljs på kriminella forum. Sådana databaser innehåller ofta hundratusentals poster och handlas för tusentals till hundratusentals euro.

Forskare från Cybersäkerhetsinstitutet i Tallinn följde en sådan databas under flera månader. De fann att merparten av de stulna korten användes inom tjugofyra timmar efter datastölden. Kriminella har nämligen intresse av att utnyttja kortet så snabbt som möjligt innan ägaren upptäcker misstänkta transaktioner och spärrar det.

Så betalar du med kort vid bankomat och terminal med mindre risk

Även om hoten låter skrämmande minskar några få enkla vanor markant risken för att någon fångar upp dina kortuppgifter i den fysiska världen. Experter inom betalningssäkerhet är överens om att förebyggande är långt mer effektivt än att i efterhand lösa problem med banken.

Använd kontaktlösa betalningar – när du inte behöver stoppa in kortet i läsaren förlorar de flesta fysiska påsatser sitt syfte. Täck alltid tangentbordet med handen när du matar in PIN-koden, både vid bankomaten och i kassan. Välj bankomater i banker eller köpcentrum framför isolerade enheter på gatan, särskilt på natten.

Kontrollera om höljets delar sitter löst – en rörlig panel, utstickande kablar eller limspår bör omedelbart få varningsklockorna att ringa. På bensinstationer bör du använda terminaler närmast byggnaden eftersom de vanligtvis är bättre övervakade. Om något verkar ”annorlunda” – kortöppningen ser annorlunda ut än vanligt, skärmen blinkar eller du ser nyligen påklistrade element runt tangentbordet – avstå hellre från transaktionen och byt enhet.

En annan god vana är att kontrollera kvittot. Om beloppet på kvittot inte stämmer överens med det du såg på skärmen kan det vara ett tecken på manipulation. Kontakta omedelbart din bank och anmäl misstanken. Ju snabbare du reagerar, desto större är chansen att blockera ytterligare försök till missbruk.

Säkra nätköp – enkla regler för vardagen

Nätbutiker är idag ett lika viktigt slagfält mot bedragare som bankomater. En stor del av ansvaret vilar på butikernas egna ägare, men kunderna kan också göra mycket från sin sida. Grunden är sunt förnuft och några tekniska åtgärder.

En mycket effektiv lösning är att ha ett separat kort enbart för nätköp med en låg dags- och månadsgräns. Även om uppgifterna hamnar i händerna på kriminella tömmer de inte hela ditt konto. Många banker erbjuder också så kallade virtuella kort – tillfälliga engångsnummer. När ett köp är genomfört slutar ett sådant nummer att fungera.

Slå på push- eller SMS-notiser vid varje korttransaktion. Ett snabbt meddelande på telefonen ger dig möjlighet att omedelbart upptäcka en belastning du inte känner igen. Reagerar du snabbt har banken större chans att blockera ytterligare betalningsförsök och hjälpa till med återbetalning. Var dessutom uppmärksam på webbläsarvarningar om farliga sidor.

Under en betalning bör inga konstiga fönster dyka upp, uppmaningar att mata in uppgifterna på nytt eller att logga in i banken via separata popup-fönster. Varje oväntad förändring i betalningsprocessen – ett extra fönster, ett ”märkligt” formulär, ett atypiskt meddelande – är en signal om att avbryta transaktionen och undersöka butiken närmare. Det är bättre att tveka en gång för mycket än en gång för lite.

Vad du bör undvika vid onlinebetalningar

Spara aldrig ditt kortnummer i webbläsaren eller i butikens app, särskilt inte på telefoner som används på offentliga Wi-Fi-nätverk. Gå aldrig in på en betalningssida via länkar från misstänkta SMS-meddelanden eller e-postmeddelanden – mata istället in butikens adress manuellt i webbläsaren. Kontrollera att adressen börjar med ”https” och att domännamnet inte innehåller stavfel eller märkliga ändelser.

Var särskilt försiktig med ”århundradets erbjudanden” från okända butiker – det är en vanlig metod för att locka ut kortuppgifter från folk. Experter från Nationellt Cybersäkerhetscenter rekommenderar att inte handla i butiker som inte tydligt anger kontaktuppgifter, företagets adress och organisationsnummer. Frånvaron av dessa grundläggande uppgifter är ett klart varningstecken.

En annan risk är falska kopior av kända e-handelsbutiker. Angripare skapar en webbplats som ser nästan identisk ut som originalet till en populär butik, men adressen avviker med en eller två bokstäver. Kunden märker ofta inte skillnaden och matar in sina betalningsuppgifter direkt till bedragarna. Kontrollera därför alltid URL-adressen noggrant innan du matar in känsliga uppgifter.

Handlar du från en mobiltelefon ska du vara extra försiktig. Skärmen är mindre, detaljer är svårare att kontrollera och folk är typiskt mindre vaksamma. Ändå är just mobila enheter idag målet för ett ökande antal attacker. Använd ett uppdaterat operativsystem och installera endast appar från de officiella butikerna Google Play eller App Store.

Vad nätbutiker måste göra – och varför det betyder något för kunderna

Operatörer av nätbutiker har allt mer detaljerade skyldigheter i samband med skydd av betalningsdata. Aktuella säkerhetsstandarder kräver att butiksägaren exakt vet vilken kod som körs på betalningssidan och från vilka externa källor den kommer. Det är inte bara en teknisk formalitet utan ett avgörande skydd för kunderna.

God praxis omfattar bland annat regelbunden skanning av filer efter misstänkta skript, begränsning av antalet externa plugins samt automatiska larm när en fil på sidan ändras utan auktorisation. Därigenom har butiken möjlighet att snabbt upptäcka en anomali och blockera ytterligare läckage även om ett intrång sker.

Från kundernas perspektiv är det värt att välja varumärken som öppet kommunicerar om de använda säkerhetsåtgärderna och systemuppdateringarna. Seriösa butiker informerar jämnt om PCI DSS-certifikat, användning av kryptering och andra åtgärder. Om en butik överhuvudtaget inte talar om säkerhet kan det vara ett varningstecken.

Organisationer som Föreningen för Elektronisk Handel ger ut rekommendationer för hur butiker bör agera. Men kontrollen av efterlevnaden av dessa regler är ofta otillräcklig. Därför är det viktigt att kunderna själva är vaksamma och endast handlar hos genomprövade säljare med gott rykte.

Varför ”osynlig” kortstöld är så lukrativ för kriminella

Data från betalkort är en vara som handlas i massor på kriminella forum. Beroende på land, kreditgräns och korttyp kan ett komplett uppsättning uppgifter kosta från några till dussintals dollar. Köparna använder dem för att beställa varor, ta ut kontanter i länder med svagare säkerhet eller för bedrägeri i onlinespel och digitala tjänster.

Kriminella attackerar sällan enskilda personer riktat. Det handlar om omfattning: ett skript i en populär nätbutik kan samla in hundratusentals kortnummer på några veckor. Endast en del av en sådan databas utnyttjas, men vinsten är ändå enorm. Forskare från Oxford Universitet uppskattar att den genomsnittliga vinsten från ett stulet kort uppgår till etthundrafemtio till trehundra euro.

För den vanliga användaren blir kombinationen av två element avgörande: förnuftig kortanvändning och regelbunden övervakning av kontot. Även om banken återbetalar de stulna medlen kan stress och nödvändiga förklaringar dra ut på veckor. Dessutom återbetalar inte alla banker automatiskt – det beror på omständigheterna och om du har följt säkerhetsreglerna.

En god vana är att gå igenom transaktionshistoriken kortvarigt vart par dagar, helst i bankens mobilapp. Många upptäcker de första misstänkta belastningarna först när de av en slump stöter på ett kontoutdrag. Bedragare ”testar” ofta kortet med obetydliga belopp innan de slår till med ett större köp. En snabb reaktion på en sådan signal kan rädda hela kontots saldo. Det är heller ingen dålig idé att byta PIN-kod regelbundet och använda olika koder till olika kort.