W nawiązaniu do opublikowanego wcześniej wpisu nt. zagrożeń związanych z kradzieżą tożsamości, warto zilustrować go opisem chyba największej do tej pory sprawy z tego obszaru. Jej opis został podany do wiadomości opinii publicznej w październiku tego roku. Prowadzona ona była pod kryptonimem „Operacja Swiper” – nie został on wyjaśniony, ale wg mnie jest to nawiązanie do postaci lisa Swipera z kreskówki Dora the Explorer, który usiłuje ukraść praktycznie każdą przydatną głównej bohaterce rzecz.

Na początek garść faktów, które rzucają światło na skalę całej sprawy. Zaangażowanych w nią było dokładnie 111 przestępców z 5 zorganizowanych grup, których obszar działania obejmował kraje Europy, Azji, Afryki oraz Bliskiego Wschodu. W ciągu 16 miesięcy swojej działalności okradli oni swe ofiary, których dokładna liczba nadal nie jest znana, na łączną kwotę ponad 13 milionów dolarów. Dochodzenie w tej sprawie trwa już od ponad 2 lat i nadal odkrywane są nowe fakty.

Schemat działania był stosunkowo typowy i bazował na eksploatacji różnic w standardach zabezpieczeń kart płatniczych między Stanami Zjednoczonymi a Europą. Chodzi oczywiście o standard EMV, czyli duet czip+pin (opisywany już przeze mnie na łamach Fraud IQ), który nie został dotąd spopularyzowany w USA. Dzięki słabszym zabezpieczeniom transakcji kartowych w Stanach, karty skradzione na niemal całym świecie są tam masowo wykorzystywane do zakupów, podczas których autoryzacja odbywa się siłą rzeczy z wykorzystaniem danych z łatwego do skopiowania paska magnetycznego.

W wielu krajów europejskich, kompatybilnych ze standardem EMV, nie jest już możliwe zrealizowanie operacji z wykorzystaniem paska magnetycznego, a jedynie czipa na karcie. Z kolei inne kraje są nadal na etapie rozwiązania pośredniego, w którym czip jest preferowaną metodą autoryzacji transakcji, ale w przypadku urządzenia, które nie jest jeszcze kompatybilne (lub też jeśli czip nie może zostać odczytany) możliwa jest nadal realizacja transakcji na podstawie danych z paska magnetycznego.

Jednak o ile przytoczony przeze mnie powyżej schemat działania nie jest niestety niczym szczególnym w światku przestępczym, to w tej sprawie uwagę zwraca znaczna skala wykorzystania skradzionych danych identyfikacyjnych ofiar oszustwa. Wiele zrealizowanych przez przestępców transakcji wymagało nie tylko samej karty, ale dodatkowego potwierdzenia danych jej rzekomego posiadacza. I z tym właśnie aspektem poradzono sobie znakomicie.

W rzeczonej sprawie gangi rozpoczynały od pozyskiwania z całego świata informacji o kartach kredytowych oraz ich właścicielach. Robiono to w bardzo zróżnicowany sposób, m.in.:

• bezpośrednio wykradając informacje z firm i instytucji finansowych,
• kopiując („skimując”) informacje o kartach w miejscach, gdzie nimi płacono (restauracje, stacje benzynowe, sklepy itd.), wykorzystując specjalnie zwerbowanych do tych celów pracowników,
• wyłudzając informacje od klientów za pomocą sfałszowanych wiadomości e-mail oraz stron internetowych, jak i różnego rodzaju robaków infekujących ich stacje robocze,
• włamując się do mieszkań i domów,
• kupując gotowe „pakiety danych” na podziemnych forach hakerskich Internecie.

Wykorzystując pozyskane informacje klonowano karty kredytowe oraz – tam gdzie było to możliwe – dokumenty tożsamości. Następnie wyposażeni w nie przestępcy wyruszali na zakupy oraz do bankomatów. Kupowano przede wszystkim sprzęt elektroniczny o dużej wartości, który łatwo mógł zostać odsprzedany lub zastawiony w lombardach. Cześć z gangsterów wykorzystywała również tak pozyskane środki dla własnej przyjemności, spędzając noce w pięciogwiazdkowych hotelach, wynajmując luksusowe samochody czy korzystając z usług najdroższych salonów.

Podczas zmasowanej akcji aresztowań policja zabezpieczyła ponad 650 tysięcy dolarów w gotówce, sprzęt firmy Apple (ulubionej przez przestępców) o wartości niemal 100 tysięcy dolarów, sprzęt komputerowy o wartości ponad 850 tysięcy dolarów (skradziony z biur Citigroup) oraz kontener luksusowych wyrobów (zegarków, elektroniki, ubrań markowych projektantów) o nieustalonej dotąd wartości.

Eksperci twierdzą, że jedyną jasną stroną całej sprawy jest potężne potrząśnięcie sektorem finansowym w USA, który nie może nadal opierać się wdrożeniu EMV, który w obecnej chwili jest już praktycznie światowym standardem. Zwracają też uwagę, że cyberprzestępczość i kradzież tożsamości nie są już (i to od dłuższego czasu) problemem poszczególnych krajów, ale osiągnęły skalę globalną.