Michael 'Mithi' Cordes <
mithr...@news-2021-01.dvd-welt.de> wrote:
>> Wenn also jemand zeitnah den Müll "scannt", was
>> durch die NFC-fähigen Karten sehr schnell und einfach erfolgen kann,
>> könnte er Missbrauch betreiben.
>
> Welchen? Ein paar mal 20€ mit einem REGISTRIERTEN Lesegerät zu klauen
> erscheint mir eher nicht der Jahrhundert-Coup.
Es gibt verschiedene Angriffsvektoren.
1.
Du hast missverstanden. Durch die NFC-Fähigkeit sind alte
(aber oft noch gültige) Plastikgeldkarten inzwischen leicht
im Müll zu lokalisieren. (Früher hätte man in kompletter
Ungewissheit riesige Müllberge durchwühlen müssen.)
Wenn ein Angreifer auf diese Weise die noch intakte Karte
aus dem Müll fischt, kann er mit den Daten darauf bis zum
Limit Schaden anrichten, ohne die PIN zu kennen, z.B. im
Webshop auf Shopping-Tour gehen. Vor allem muss sich das
Opfer dem Vorwurf stellen, wie jemand an all diese Daten
kommen konnte, das könnte grob fahrlässig gewesen sein,
dann bleibt man womöglich auf dem Schaden sitzen. :-(
2.
Das war zwar nicht mein Punkt, aber weil es Du es nennst...
Die Hürden für ein "registriertes" Lesegerät sind minimal,
man muss nur einen Betreiber finden, der zeitnah das Geld
aufs eigene Konto überweist. Falls der Missbrauch nach ein
paar Tagen, Wochen oder gar Monaten auffliegt, hat man das
Geld längst abgehoben und ist über alle Berge.
Desweiteren ist es ein Irrglaube, dass eine kontaktlose
Abhebung auf ca. 25€ (derzeit 50€) begrenzt ist, ohne die
PIN zu kennen. Bei kontaktlosen VISA-Karten lässt sich
beispielsweise durch einen prinzipiellen Design-Fehler
die PIN-Abfrage umgehen. Sorry, kontaktlose Plastikkarten
sind ein Witz, da gibt's keinerlei Sicherheit. Wer in die
bloße Nähe so einer Karte kommt, kann sie missbrauchen.
Klar, vielleicht kann das Opfer, wenn es den Missbrauch
rechtzeitig erkennt, die Abbuchungen stornieren, oder auch
nicht, denn die Zeiten, wo man bei Kreditkarten Vorgänge
einfach so rückabwickeln konnte, sind schon lange vorbei,
das darf man inzwischen ausführlichst begründen. Ist ein
Aufwand, den man generell nicht haben möchte.
Grüße, Andreas