Хакеры научились удаленно получать информацию с RFID-карточек

Хакеры научились удаленно получать информацию с RFID-карточек

На хакерской конференции Shmoocon, которая прошла в Вашингтоне в минувший уикенд (27-29 января) известный специалист по безопасности Кристин Пейджет (Kristin Paget) из компании Recursion Ventures провела демонстрацию дистанционного считывания конфиденциальной информации с банковской карты, оснащённой радиочипом RFID. Вообще-то, об уязвимости бесконтактных карточек говорят уже лет пять, но нынешняя демонстрация показала, что надёжной защиты безопасности до сих пор не появилось. Для считывания информации с карт использовалось недорогое оборудование совокупной стоимостью в пару сотен долларов.



Для дистанционного считывания номера карты, срока действия и одноразового номера CVV использовался кард-ридер Vivotech, который можно купить на eBay за $50. Далее, с помощью намагничивающего устройства стоимостью $300 эти данные можно записать на чистую карту, сообщает xakep.ru.

Во время демонстрации Пейджет пригласила на сцену добровольца, который не вынимал из кармана кошелёк с карточкой. Считывание данных и намагничивание новой карточки заняло пару минут, после чего Пейджет достала iPhone с модулем Square, который позволяет принимать платежи, и перевела $15 на свой счёт, используя только что сделанный клон карточки. Чтобы ни у кого не оставалось сомнений в правдивости фокуса, Пейджет показала номер клонированной карточки на большом экране со сцены.

Бесконтактные карточки появились в обращении относительно недавно, и платёжные системы широко рекламируют их как удобное средство платежа. По данным Smart Card Association, сейчас в обращении находится около 100 млн таких карт. Соответствующая технология у компании Visa называется payWave, у MasterCard — PayPass, у Discover — Zip, а у American Express — ExpressPay. Все они одинаково уязвимы для съёма данных.

В данном случае хакерский RFID кард-ридер ничем не отличается от легального терминала торговой точки. Самое сложное в такой атаке — приблизить кард-ридер на максимально близкое расстояние к кошельку с карточкой. На практике это можно сделать в переполненном транспорте или в очереди, спрятав устройство в кармане и «случайно» столкнувшись с владельцем карты. В принципе, физический контакт даже необязателен, достаточно максимально близко приблизиться к жертве.

Данный тип атаки — не какая-то дыра в безопасности, а фундаментальный изъян платёжной системы, которую специально сделали максимально простой в использовании. В нынешней версии технологии RFID-карты не передают беспроводным способом имя пользователя, PIN-код и трёхзначный постоянный CVV. Представители платёжных систем говорят, что за шесть лет не задокументировано ни единого случая подобного рода мошенничества, что является доказательством достаточной защиты для такого рода атак, где злоумышленнику трудно сохранить свою анонимность.

В самом деле, использование одноразового CVV делает возможным проведение только одной транзакции с клонированной карточки, а при попытке второй транзакции она будет заблокирована.

По мнению Пейджет, это означает только то, что злоумышленнику нужно посетить оживлённое место, где за один вечер можно набрать множество «одноразовых» карт. По словам специалиста, они в компании Recursion Ventures сейчас работают над созданием специального бумажника Guardbunny с RFID-детектором, который будет сигнализировать о попытке сканирования — глаза у кролика на бумажнике начинают светиться и он издаёт громкие звуки. Кроме того, в бумажнике будет проактивная защита против сканирования вместо малоэффективных алюминиевой прокладки, которую сейчас вшивают в кошельки и которая не спасает от мощного сканера.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Рынок корпоративного ИБ-образования в России вырос до 3 млрд рублей

Группа компаний «Солар» совместно с консалтинговым агентством KASATKIN CONSULTING представила исследование рынка корпоративного образования в сфере информационной безопасности. По его данным, по итогам 2024 года объём этого рынка достиг 3,07 млрд рублей, что на 10% больше, чем годом ранее.

Аналитики отмечают, что развитие ИБ-образования идёт следом за ростом рынка кибербезопасности в целом. К 2026 году объём рынка может вырасти до 3,38 млрд рублей при среднегодовом темпе роста около 8%.

Главные заказчики — крупные и крупнейшие компании, на которые приходится 83% спроса. Именно они активнее других вкладываются в подготовку специалистов: их бюджеты на обучение растут примерно на 24% в год, что сопоставимо с ростом собственных доходов. В среднем крупный бизнес тратит на обучение 0,13% от выручки, а крупнейшие корпорации — 0,05%.

Самыми активными инвесторами в развитие ИБ-компетенций остаются финансовый сектор и ТЭК (41%), а также ритейл и FMCG (21%).

Рост рынка, по мнению экспертов, обеспечивают три ключевых фактора. Во-первых, усиление требований государства, когда наличие сертифицированных специалистов становится обязательным для получения лицензий. Во-вторых, новые угрозы, связанные с ИИ, и усложнение ИТ-инфраструктур, что требует постоянного обновления знаний. В-третьих, курс на импортозамещение, который стимулирует создание отечественных программ обучения и адаптацию зарубежных курсов.

По словам аналитиков, сегодня компании переходят от обучения «для галочки» к практической подготовке команд. Все чаще востребованы программы по SOC, DevSecOps, форензике, а также тренировки на киберполигонах. Растет популярность гибридных форматов — сочетания онлайн-теории и офлайн-практики, а также индивидуальных образовательных треков.

«Рынок ИБ-образования взрослеет: обучение становится не просто инструментом получения сертификата, а способом укрепления компетенций команд. В 2026 году выиграют те, кто связывает развитие сотрудников с внедрением отечественных решений и реальными задачами бизнеса», — отметил Дмитрий Касаткин, управляющий партнёр KASATKIN CONSULTING.

Как добавляют в ГК «Солар», компании всё чаще рассматривают инвестиции в обучение как стратегический элемент защиты бизнеса. Особое внимание уделяется программам, где можно отработать навыки на реальных кейсах — например, тестирование на проникновение, безопасная разработка или работа в SOC.

Отдельный тренд — рост числа специалистов уровня middle, которые переходят в ИБ из смежных ИТ-направлений. Это говорит о том, что компании всё чаще растят собственных специалистов, развивая их практические навыки внутри организации.

Эксперты уверены: спрос на качественные прикладные программы будет только расти, поскольку разрыв между академическими знаниями и реальными потребностями бизнеса по-прежнему велик.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru