Zum Hauptinhalt springen

Visa-Inhaber aufgepasstETH-Forscher stellen Sicherheitslücke bei Kreditkarten fest

Betrüger können Beträge von Visa-Karten abbuchen, obwohl diese mit einem PIN-Code bestätigt werden müssen.

«Der PIN-Code ist im Grunde genommen nutzlos»: Eine beunruhigende Untersuchung der ETH Zürich.
«Der PIN-Code ist im Grunde genommen nutzlos»: Eine beunruhigende Untersuchung der ETH Zürich.
Foto: Jenny Kane (Keystone/AP/Symbolbild)

Eine Schwachstelle im Protokoll des Kreditkartenunternehmens Visa erlaubt Betrügern, Beträge von Karten abzubuchen, die eigentlich mit einem PIN-​Code bestätigt werden müssten. Das teilte die ETH Zürich am Dienstag mit.

«Der PIN-​Code ist bei diesen Karten im Grunde genommen nutzlos», sagte der Informatiker Jorge Toro-​Pozo gemäss der Mitteilung. Da andere Unternehmen wie Mastercard, American Express oder JCB ein anderes Protokoll verwenden als Visa, sind diese Karten von der identifizierten Schwachstelle nicht betroffen. Möglicherweise besteht die Lücke aber auch bei Karten von Discover und UnionPay.

Die Basis für das bargeldlose Bezahlen ist der EMV-​Standard, der bei weltweit über neun Milliarden Karten zur Anwendung kommt. Diesen haben die Wissenschaftler unter die Lupe genommen und sind im Protokoll, das vom Kreditkartenunternehmen Visa eingesetzt wird, auf die Sicherheitslücke gestossen. Die Resultate der Arbeit wurden auf den Preprint-Server «arXiv» hochgeladen und noch nicht von anderen Wissenschaftlern begutachtet.

App überlistet Sicherheitssystem

Die ETH-Forschenden machten mit ihren eigenen Kreditkarten die Probe aufs Exempel: Der vermeintliche Betrug gelang ihnen in verschiedenen Geschäften. Dafür programmierten sie eine Android-App, die das Sicherheitssystem der Karte überlistet. Die App ermöglicht es Handys, vom Chip auf der Kreditkarte zu lesen und mit Bezahlterminals Informationen auszutauschen.

Um Geld von der Kreditkarte abzubuchen, lasen die Forschenden zunächst mit einem ersten Handy Daten von der Karte ein und übermittelten diese an ein zweites Handy. Mit diesem buchten sie dann den gewünschten Betrag an der Kasse ab. Das Android-Betriebssystem wies übrigens keine speziellen Sicherheitshürden auf, um die neu entwickelte App zu installieren.

Die Forschenden haben Visa bereits über die Sicherheitslücke informiert. Diese zu schliessen wäre laut ihnen nur mit geringem Aufwand verbunden: Drei Ergänzungen im Protokoll würden beim nächsten Softwareupdate auf den Bezahlterminals genügen. Die Karten müssten dafür nicht ersetzt werden, sagte Toro.

SDA/fal

13 Kommentare
    Sascha Hagmann

    Habe gestern gerade eine Abbuchung von der MasterCard auf meinem Cs Konto von über 4400 chf erhalten.Habe sofort der Swisscard dies gemeldet bin bin zutiefst erschüttert, hatte zur diese Abbuchung keine Informationen erhalten weder ein 3d Code erhalten. Abbuchung erfolgte in Stockholm!!!! Heute wahr ich auch noch bei der Polizei für eine Betrugsanzeige, dort wurde mir gesagt dad sie zurzeit nur mit solchen Betrugsfälle zu tun haben. Hatte ein Gespräch mit der Swisscard dort sieht es so aus dass sie mir den Betrag nicht rückvergüten wollen. Bin am boden zerstört!!!!!!! Die Medien müssen unbedingt das Volk aufklären das Kreditkarte n absolut unsicher sond!!!!!!