Niewidzialny atak na kartę płatniczą. Jeden błąd i konto pustoszeje

Współczesna kradzież oszczędności nie wymaga już fizycznego odebrania portfela właścicielowi – cyberprzestępcy potrafią przejąć dane karty, gdy ta cały czas spoczywa w bezpiecznym miejscu. Wyrafinowane metody, takie jak shimming czy e-skimming, sprawiają, że zagrożenie staje się niemal niewidoczne zarówno przy bankomacie, jak i podczas rutynowych zakupów w sieci. Zrozumienie, jak działają te mechanizmy, jest kluczowe, by nie stać się kolejną ofiarą grup takich jak Magecart, które czerpią miliony z luk w zabezpieczeniach systemów płatniczych.

Coraz sprytniejsi cyberprzestępcy potrafią przechwycić dane karty, choć ta ani na chwilę nie znika z portfela jej właściciela.

Fałszywe bankomaty, skażone strony płatności, miniaturowe urządzenia chowające się w czytniku kart i złośliwy kod w sklepie internetowym – to już codzienność, a nie film sensacyjny. Oszuści przenieśli dobrze znane techniki wyłudzania danych kart z ulicy do sieci i zarabiają na tym miliony.

Jak działa kradzież danych karty: od skimmingu do shimmingu

Przez wiele lat głównym celem przestępców były bankomaty i terminale na stacjach paliw. Metoda była prosta: na czytnik kart trafiał dodatkowy moduł, który kopiował dane z paska magnetycznego. Do tego kamera nad klawiaturą albo nakładka udająca prawdziwe przyciski i komplet informacji lądował w rękach złodziei.

Od momentu wyjęcia karty z portfela do przyjęcia płatności przez bank istnieje krótka, ale krytyczna chwila. Właśnie wtedy oszuści próbują się wpiąć w proces i przechwycić numer karty, datę ważności oraz PIN.

Skimming to przechwycenie danych z paska magnetycznego karty, shimming – podsłuch komunikacji z chipem w samym wnętrzu czytnika.

Cienki jak kartka papieru: shimming w czytniku kart

Wprowadzenie kart z chipem EMV utrudniło życie przestępcom, bo każda transakcja otrzymuje unikalny kod, którego nie da się skopiować jak zwykłego paska magnetycznego. Przestępcy nie odpuścili i pojawił się shimming.

Shimmer to ultra cienka płytka, wsu­wana bezpośrednio do czytnika kart. Urządzenie „podsłuchuje” komunikację między chipem a terminalem, zapisuje przesyłane dane i odsyła je do właścicieli – niekiedy bezprzewodowo. Dla zwykłego użytkownika terminal wygląda zupełnie normalnie. Żadnych wystających elementów, żadnych śladów kleju.

Samo sklonowanie chipa nadal jest bardzo trudne, więc przestępcy robią coś innego. Z zebranych informacji tworzą karty z paskiem magnetycznym i wypłacają gotówkę w krajach, gdzie wciąż da się płacić w trybie awaryjnym bez chipa (tzw. fallback). Pieniądze znikają z konta ofiary, choć karta cały czas leży w portfelu w Polsce.

Gdy karta nie wychodzi z domu: e-skimming w sklepach internetowych

Przestępczość związana z kartami przeniosła się w ogromnym stopniu do internetu. Wersja online tradycyjnego skimmingu nosi nazwę e-skimming.

W tej metodzie zamiast fizycznego modułu przy bankomacie pojawia się kilka linii złośliwego JavaScriptu w formularzu płatności sklepu internetowego. Użytkownik wpisuje dane karty, transakcja dochodzi do skutku, paczka przychodzi na czas. Gdzie haczyk? W tle niewidoczny kod wysyła skopiowane dane na serwer kontrolowany przez przestępców.

Ofiara często nie widzi nic podejrzanego: transakcja się udaje, strona wygląda normalnie, a dane karty już krążą w podziemnych bazach.

Grupy Magecart i atak na „klocki” używane przez tysiące sklepów

Za dużą częścią takich kampanii stoją grupy określane zbiorczo jako Magecart – od popularnej platformy e-commerce, na której zaczynały. Dziś nie ograniczają się do jednego silnika sklepu. Uderzają w usługi, które działają na ogromnej liczbie witryn naraz.

Chodzi na przykład o:

• narzędzia analityczne (statystyki odwiedzin, mapy kliknięć),
• skrypty reklamowe i remarketingowe,
• wtyczki do obsługi czatu, formularzy, recenzji.

Wystarczy przejąć jedno takie narzędzie używane przez tysiące sklepów, by jednym ruchem „zatruć” całą sieć stron. Podczas głośnej kampanii wykorzystującej lukę w platformie Adobe Commerce zainfekowanych zostało około 11 tysięcy sklepów, a setki milionów numerów kart trafiły na nielegalne fora.

Ukryty kod w obrazkach, statystykach i stronach błędów

Twórcy złośliwego oprogramowania dbają o to, by pozostać niezauważeni jak najdłużej. Zamiast prostego skryptu w kodzie strony pojawiają się bardziej wyrafinowane sztuczki. Badacze bezpieczeństwa odnotowali m.in.:

W jednym z opisanych scenariuszy, po wpisaniu danych karty ofiara widziała komunikat o rzekomym wygaśnięciu sesji i prośbę o ponowne wczytanie strony. To miało wyglądać na typowy błąd sklepu, podczas gdy informacje bankowe wędrowały już na serwer przestępców.

Jak płacić kartą w świecie fizycznym, żeby zminimalizować ryzyko

Choć pomysłowość oszustów robi wrażenie, zwykły użytkownik ma kilka prostych narzędzi, które mocno utrudniają im życie.

Bezpieczniejsze korzystanie z bankomatu i terminala

• Stawiaj na płatności zbliżeniowe – nie wsuwasz karty do czytnika, więc shimmer ani klasyczny skimmer nie mają kontaktu z plastikiem.
• Gdy musisz włożyć kartę, zasłoń PIN – ręką, portfelem, czymkolwiek. Mała kamera nad klawiaturą bez tego traci sens.
• Wybieraj bankomaty w oddziałach banków – urządzenia w środku budynku są trudniejsze do zmanipulowania bez świadków.
• Na stacjach paliw płać przy budynku – dystrybutory blisko obsługi są mniej atrakcyjne dla grup montujących skimmery.
• Nie ignoruj „drobnych” oznak – coś odstaje, rusza się, widać nadmiar kleju, taśmę, brak części obudowy? Zrezygnuj z transakcji.

Jeżeli cokolwiek w czytniku karty wygląda inaczej niż zwykle, lepiej odpuść wypłatę i poszukaj innego urządzenia.

Jak ograniczyć ryzyko podczas płatności online

Sklepy internetowe nie dają stuprocentowej gwarancji bezpieczeństwa, ale użytkownik może znacząco zmniejszyć potencjalne straty, jeśli coś pójdzie źle.

Osobna karta do sieci i niskie limity

Bardzo skuteczną praktyką jest trzymanie osobnej karty wyłącznie do płatności internetowych. Ustaw na niej niski dzienny i miesięczny limit, a resztę środków trzymaj na innym rachunku. Nawet jeśli dane trafią w niepowołane ręce, skala szkód będzie mniejsza.

Coraz więcej banków oferuje też karty wirtualne, które generują jednorazowy numer – działa tylko przez określony czas albo tylko dla pojedynczej transakcji. W razie przechwycenia taka numeracja jest już bezużyteczna.

Uważaj na nietypowe zachowanie strony

Na etapie płatności reakcja użytkownika jest kluczowa. Warto zachować czujność, gdy:

• nagle pojawiają się dodatkowe okienka pop-up, których nie było wcześniej,
• przeglądarka ostrzega przed niebezpiecznym certyfikatem lub niepewnym połączeniem,
• adres strony wygląda inaczej niż zazwyczaj, ma dziwne znaki lub literówki,
• formularz płatności pojawia się w zupełnie nowym oknie z innym adresem.

Do tego warto wyłączyć automatyczne zapisywanie numeru karty w przeglądarce i aplikacjach, zwłaszcza używanych na cudzych komputerach albo w niezabezpieczonych sieciach Wi‑Fi.

Powiadomienia z banku i szybka reakcja

Ostatnia linia obrony to czujne oko właściciela konta. Aktywuj powiadomienia o transakcjach w aplikacji lub przez SMS. Każdy nieznany przelew czy płatność warto od razu zgłaszać bankowi i w razie potrzeby blokować kartę.

Im szybciej zauważysz nietypową operację, tym większa szansa na ograniczenie strat i odzyskanie pieniędzy.

Nowe obowiązki dla sklepów internetowych i co z tego wynika dla klientów

Firmy prowadzące sprzedaż online są objęte coraz bardziej szczegółowymi regulacjami. Standard PCI DSS w najnowszej wersji wymaga m.in. dokładnego katalogowania wszystkich skryptów działających na stronie płatności i stałej kontroli, czy ktoś nie wstrzyknął tam dodatkowego kodu.

Dla użytkownika nie ma to bezpośredniego przełożenia na codzienne czynności, ale presja regulacyjna sprawia, że sklepy częściej inwestują w audyty bezpieczeństwa, monitorowanie logów i usuwanie podatności. Osoby kupujące w sieci nadal powinny jednak zakładać, że ryzyko nigdy nie spada do zera.

Dlaczego problem rośnie i czego można się spodziewać

Przestępczość związana z kartami płatniczymi rozwija się z prostego powodu: to bardzo opłacalny biznes przy relatywnie niskim ryzyku. Dane kart są towarem, którym handluje się w ciemnej części internetu hurtowo. Z pojedynczej udanej kampanii e-skimmingu można pozyskać dziesiątki tysięcy działających numerów.

Do tego coraz więcej elementów sklepu internetowego pochodzi od zewnętrznych dostawców. Każdy kolejny skrypt czy wtyczka to dodatkowy punkt wejścia dla atakującego. Administratorzy często nawet nie wiedzą dokładnie, jakie fragmenty kodu ładują się na ich stronach, bo konfiguracją zajmowała się inna firma kilka lat wcześniej.

Użytkownik indywidualny nie jest w stanie zweryfikować, czy dana witryna dobrze dba o bezpieczeństwo. Może natomiast zbudować wokół siebie zestaw bezpiecznych nawyków: płacić zbliżeniowo, korzystać z wirtualnych kart, ograniczać limity, włączać powiadomienia i regularnie przeglądać historię operacji. Ta „warstwowa” strategia sprawia, że pojedyncze włamanie nie zamienia się od razu w katastrofę finansową.

Warto też pamiętać, że wiele banków stosuje procedury reklamacyjne i ubezpieczenia transakcji. Jeżeli szybko zgłosisz podejrzaną operację i nie przyczyniłeś się rażąco do zaniedbania bezpieczeństwa, masz realną szansę na zwrot pieniędzy. Ostatecznie to połączenie technologii, regulacji i zdrowego rozsądku decyduje, czy niewidzialny atak na kartę zakończy się jedynie nerwami, czy faktyczną utratą oszczędności.