Um golpe bancário que tem origem no Brasil e é aplicado em instituições financeiras dos Estados Unidos e Canadá surpreendeu especialistas em segurança nesta semana. Transações irregulares envolvendo cartões de crédito e débito aparentemente foram realizadas em várias instituiçoes bancárias usando bandeiras famosas de cobrança e desviando milhares de dólares.
O blog Krebs on Security reportou o caso, relatando que três bancos que não tiveram os nomes divulgados alegaram a presença de "dezenas de milhares de dólares em transações fraudulentas de cartões de crédito vindas do Brasil e atingindo contas bancárias roubadas em roubos recentes, especialmente no vazamento do Home Depot".
Esse caso aconteceu em setembro e expôs dados de milhões de clientes, mas aparentemente as contas não foram bloqueadas. Só que isso não é o pior da história: as transações foram realizadas sob as bandeiras Visa e Mastercard em cartões de crédito com chip. O problema é que os tais bancos nem sequer começaram a usar essa tecnologia ainda, já que o país demorou para iniciar a substituição dela pelos cartões com tarja magnética.
Mestres do crime
Os cartões com chip são comprovadamente mais seguros e possuem uma série de métodos de identificação para impedir fraudes, mas nem por isso eles não podem ser usados em um golpe.
O golpe consiste em realizar transações com um cartão de tarja magnética, porém acrescentando alguns dados no processo e camuflando ele como se fosse um cartão com chip. O único porém é que as contas usadas não continham uma chave de segurança PIN — e isso não impediu que as ações fossem realizadas.
O método "Replay"
Aparentemente, os bandidos estão em posse de um terminal de pagamento e são capazes de manipular os dados das transações efetuadas na máquina.
Desse modo, eles são capazes de pegar uma transação real de um cartão com chip e modificar os dados dentro desse sistema, inserindo no lugar das informações reais as informações do cartão roubado e de outras contas bancárias. Esse tipo de golpe é conhecido na área como "Replay" e movimentou, em uma das várias aplicações, cerca de R$ 100 mil.
Agora, além de não conseguir bloquear as transações, os bancos devem discutir com as bandeiras de cartões e com outras instituições para saber quem a culpada na história.