ANZEIGE
Ich kann mir nicht vorstellen, dass sich diese Masche lange hält. Der Aufwand für die Täter ist relativ zum Ertrag doch viel zu hoch. Es fliegt immer ziemlich schnell auf und viel rum kommt dabei auch nicht (maximal 50€ pro Vorgang).
Sicherheitsaspeke bei Kreditkarten und Banking
- Starter*in geos
- Datum Start
ANZEIGE
Die Geräte sehen professionell aus, möglicherweise irgendwo in Asien in Serienproduktion hergestellt und für ein paar Euro pro Stück zu haben (über die entsprechenden dunklen Kanäle). Davon dann 20, 50 oder 100 einer fake-Identität zugeordnet, je nach Frequenz des Parkautomaten können da pro Stück immer ein paar hundert Euro pro Gerät dabei herauskommen.
Auf dem Schaden bleiben dann (wohl) die Banken/Kreditkartenunternehmen sitzen, und deren Taschen sind tief.
Bei Zahlung mit Kreditkarte sollte ein Chargeback problemlos möglich sein, bei Debitkarten vermutlich auch (abgebuchter Betrag wurde nicht angezeigt, Zahlung daher nicht autorisiert). Mit Girocard wird es vermutlich nur mit Co-Badge funktionieren. Die Zahlung geht ja an einen Händler über einen Acquirer; da muss grundsätzlich feststellbar sein, worüber das läuft.
Vermutlich ist bei dem Chargeback der Betreiber des eigentlichen Automaten gar nicht involviert, da er selbst ja auch kein Geld einzieht.
Läuft das ganze denn über ein registriertes Terminal, oder geht es hier mit NFC-Verlängerung, und am Ende zahlt ein Betrüger an einem Terminal eines Dritten, der gar nicht weiß, dass hier gerade ein Betrug stattfindet?
Vermutlich ist bei dem Chargeback der Betreiber des eigentlichen Automaten gar nicht involviert, da er selbst ja auch kein Geld einzieht.
Beitrag automatisch zusammengeführt:
Das Kartenterminal wird mit Sicherheit nicht in Deutschland registriert sein.
Läuft das ganze denn über ein registriertes Terminal, oder geht es hier mit NFC-Verlängerung, und am Ende zahlt ein Betrüger an einem Terminal eines Dritten, der gar nicht weiß, dass hier gerade ein Betrug stattfindet?
Das wäre auf jeden Fall ein Chargeback-Grund! So ein Betrug sollte eigentlich schnell auffallen: das originale Parkticket wurde ja nicht bezahlt, ggf. kann der Fahrer gar nicht ausfahren.
Und ansonsten muss das Terminal und dahinterliegende Geschäftskonto ja registriert sein, und sei es auf einen Strohmann. Ist am Ende dann nicht viel anders als ein Lastschriftbetrug.
Heise hat nun auch festgestellt, dass viele Banken ihre Kunden auf unsicheres Verhalten hin konditionieren:
www.heise.de
Phishing: Banken nutzen halbseidene Domains
Namhafte Banken wie die Sparkassen warnen zwar vor Phishing, nutzen aber selbst Phishing-artige Domains. Es ginge sicher besser.
das beschriebene bzw. gezeigte Gerät sieht allerdings eher nach einer modernen 'Parkuhr' am Straßenrand aus.
Siehe PN
Girocard geht auch und beim Terminal gibt es zwei Verfahren die beide gehen.
Doch es gibt Verfahren wo beides erfolgt. Der Geschädigte sieht also zwei Buchungen ein offizielles und ein weiteres.
Das kann m.E. keine Kartentransaktion sondern nur eine Online-Buchung mit den abgegriffenen Daten sein.
Hast du eine Quelle dafür?
im Artikel war vom "Parkplatz am Hauptbahnhof" die Rede - aber "Parkuhr"-artig scheint dennoch richtig zu sein, also nicht zwingend eine Schranke die man nur nach Scannen eines Belegs öffnen kann. Darauf deutet auch die Zahlungsmöglichkeit per App hin, die seitlich auf dem Automaten zu sehen ist.
Abgesehen davon, dass es nicht um ein Parkhaus geht - ich habe Zweifel, ob man den "Parkuhr"-Betreiber für Manipulationen an seinem Gerät verantwortlich machen und die Begleichung des Schadens von ihm verlangen kann.
Der wird sich eher auf mangelnde Sorgfalt des Users berufen, siehe auch die Polizei-Empfehlung im Artikel:
Wobei der (NFC-)Kartenleser an solchen Automaten relativ oft wie ein "ungewöhnlicher Aufsatz" aussieht, besonders dann, wenn "NFC" nachgerüstet wurde...
Bitteschön hier wird eine Kartentransaktion beschrieben :
Flipper Zero NFC Hacking - EMV Banking, Man-in-the-Middle, and Relay Attacks
In our previous post, we explored how the Flipper can function as both an NFC contactless card reader...
dev.to
Ja, danke. Das kenne ich ebenso wie das EMV Protokoll über NFC. Aber praktisch kannst du damit kein "wildes Shopping" machen. Dazu müsste im selben Moment, in dem ein argloser Kunde seine Karte an den Fake-Leser hält, jemand Drittes das passende Relay-Gerät an ein Kartenterminal irgendwo auf der Welt halten und etwas unter 50€ kaufen...Bitteschön hier wird eine Kartentransaktion beschrieben :
Flipper Zero NFC Hacking - EMV Banking, Man-in-the-Middle, and Relay Attacks
In our previous post, we explored how the Flipper can function as both an NFC contactless card reader...
*Ok, jetzt habe ich es verstanden.*
Ihr versteht den technischen Ablauf, fragt euch aber, wie ein Betrüger das ausnutzen kann.
Weil: Am Geldautomaten ohne PIN geht es nicht.
Ganz einfach: Das Terminal an der Ladesäule fürs E-Auto nutzen, automatische Tankstellen nutzen, Prepaid-Handy aufladen usw.
Geht alles am Terminal kontaktlos ohne PIN bis 50€.
Ihr versteht den technischen Ablauf, fragt euch aber, wie ein Betrüger das ausnutzen kann.
Weil: Am Geldautomaten ohne PIN geht es nicht.
Ganz einfach: Das Terminal an der Ladesäule fürs E-Auto nutzen, automatische Tankstellen nutzen, Prepaid-Handy aufladen usw.
Geht alles am Terminal kontaktlos ohne PIN bis 50€.
Wenn ich von solchen Betrügereien höre, frage ich mich immer: Wie schwer ist es für die Ermittlungsbehörden heraus zu finden, wohin das Geld gegangen ist?
Wenn mir Jemand einen Geldschein aus der Tasche zieht, dann ist der weg.
Aber der Betrag, der von meinem Konto verschwunden ist, ist ja nicht bei einem anonymen Betrüger gelandet, sondern auf irgendeinem Konto, das irgendeinem gehört.
Mir ist bewusst, dass nicht immer der eigentliche Empfänger ausfindig gemacht werden kann, aber der Aufwand für einen "Betrüger per NFC" ist deutlich höher, als für den klassischen Taschendieb, und Ermittlungsbehörden haben im Gegensatz zum Taschendiebstahl zumindest einen ersten Hinweis, wohin das Geld gegangen ist.
Wenn mir Jemand einen Geldschein aus der Tasche zieht, dann ist der weg.
Aber der Betrag, der von meinem Konto verschwunden ist, ist ja nicht bei einem anonymen Betrüger gelandet, sondern auf irgendeinem Konto, das irgendeinem gehört.
Mir ist bewusst, dass nicht immer der eigentliche Empfänger ausfindig gemacht werden kann, aber der Aufwand für einen "Betrüger per NFC" ist deutlich höher, als für den klassischen Taschendieb, und Ermittlungsbehörden haben im Gegensatz zum Taschendiebstahl zumindest einen ersten Hinweis, wohin das Geld gegangen ist.
Zuletzt bearbeitet:
Es ist aber nur ein erster Hinweis. Und bis die Auskünfte von Banken (auch im EU-Ausland) eintrudeln, kann das Geld z.B. via Echtzeit -Überweisung schon über dutzende Konten weitergeschickt worden sein.
Und einer der Konteninhaber kann dann auch z.B. ein Asylbewerber sein, der Monate später schon nicht mehr greifbar ist, weil z.B. abgeschoben, wenn die Ermittlungsbehörden dann die Spur bis dorthin verfolgen konnten. Und der hat es Monate vorher in bar abgehoben und den Auftraggebern ausgehändigt.
Der übliche Begriff der Ermittlungsbehörden für solche Beteiligte nennt sich: 'Finanzagenten'.
Alles richtig - kann mir als Kunde aber egal sein. Ich hab zwar den Ärger mit Betrugsanzeige und Chargeback - bekomme aber mein Geld zurück. Hier haftet im Zweifel der Acquirer, der einen so unzuverlässigen "Händler" aquiriert hat. Deshalb gibts meistens auch Sicherheitsleistungen bei größeren Umsätzen etc.
Nein, das ist nicht schwer, das steht ja auf der Kreditkartenabrechnung. Schwer ist, es wieder zurückzubekommen (vermutlich dank Chargeback nicht wirklich)
Korrekt, wobei es hier nicht um Überweisungen geht.
Wichtig ist doch für den Betrüger, dass er das Geld schnell genug abzieht/ausgibt. Das Konto, auf das es geht (bei Überweisungsbetrug), ist ja nicht seines und/oder befindet sich in einem Land, in dem der rechtliche Durchgriff sehr begrenzt ist.
Beitrag automatisch zusammengeführt:
Stimmt; es ist den Betrügern allerdings recht egal, wer letztlich haftet, also die Zeche zahlt.
Eigentlich wollte ich keine Diskussion (trotzdem Danke für weitere Meinungen und Informationen), sondern wollte nur dem "ali2", der gemeint hatte, so ein Abgreifen einer NFC-Zahlung sei "ganz einfach", den Wind aus den Segeln nehmen. 
Na dann schönen Dank dafür.Eigentlich wollte ich keine Diskussion (trotzdem Danke für weitere Meinungen und Informationen), sondern wollte nur dem "ali2", der gemeint hatte, so ein Abgreifen einer NFC-Zahlung sei "ganz einfach", den Wind aus den Segeln nehmen.
Es gab hier fragen wie so etwas funktioniert und die wollte ich ganz einfach beantworten.
Habe es leider zu spät kapiert das die Fragen rhetorisch waren.
Kein Problem, in Zukunft werde ich mich da einach heraushalten.
Übrigens meine Fragen die ich stelle bzw. stellen werde könnt ihr mir ruhig besntworten. Ich stelle Fragen weil ich die Antworten hören will!
ANZEIGE
![]()
Wenn es dich interessiert, was auf deiner Kreditkarte gespeichert ist, dann schau mal:
https://play.google.com/store/apps/details?id=de.erichambuch.apps.creditcardchecker
Das Paper mit der EMV-Angriffstechnik hatte ich in dem Beitrag verlinkt .