Un team di scienziati informatici della UC San Diego e dell'Università dell'Illinois ha sviluppato un'app che consente agli ispettori statali e federali di rilevare i dispositivi che rubano i dati delle carte di credito e di debito dei consumatori alle pompe di benzina. I dispositivi, conosciuti come skimmer, utilizzare il Bluetooth per trasmettere i dati che rubano.

"Tutto quello che i criminali devono fare è scaricare i dati comodamente dal loro veicolo, " disse Nishant Bhaskar, un dottorato di ricerca studente di informatica presso l'Università della California a San Diego e primo autore dello studio.

L'applicazione, chiamato Bluetana, rileva la firma Bluetooth degli skimmer, e consente agli ispettori di trovare i dispositivi senza dover aprire le pompe di benzina.

Bluetana è stato sviluppato con il contributo tecnico del servizio segreto degli Stati Uniti ed è disponibile solo per le forze dell'ordine e gli ispettori delle pompe di benzina. Non sarà disponibile per il grande pubblico. Ora è utilizzato dalle agenzie in diversi stati.

"Il nostro obiettivo è fornire agli agenti sul campo i migliori strumenti per il lavoro disponibili oggi, " ha detto Kirill Levchenko, un professore di informatica all'Università dell'Illinois che ha conseguito il dottorato di ricerca. presso la Jacobs School of Engineering dell'UC San Diego. "Abbiamo scoperto che Bluetana aiuta gli agenti a trovare più stazioni di servizio con skimmer e a trovare più skimmer in quelle stazioni di servizio".

I ricercatori hanno scoperto che, rispetto ad app simili attualmente disponibili per smartphone, È probabile che Bluetana scopra più schiumatoi e si traduca in un tasso di falsi positivi molto più basso. "La tecnologia Bluetooth utilizzata in questi skimmer viene utilizzata anche per prodotti legittimi comunemente visti nelle stazioni di servizio e nelle vicinanze, come i segnali di limite di velocità, sensori meteorologici e sistemi di localizzazione della flotta, " ha affermato Bhaskar. "Questi prodotti possono essere scambiati per skimmer dalle app di rilevamento esistenti".

Bluetana utilizza un algoritmo sviluppato dai ricercatori per distinguere gli skimmer dai dispositivi Bluetooth legittimi. I ricercatori hanno progettato l'algoritmo sulla base dei risultati di uno studio sul campo durante il quale i ricercatori hanno analizzato le scansioni dei dispositivi Bluetooth scattate dai funzionari all'1, 185 distributori di benzina in sei stati degli Stati Uniti.

"Bluetana estrae dati più significativi dal protocollo Bluetooth, come la potenza del segnale, rispetto alle applicazioni di rilevamento skimmer esistenti. In alcuni casi, la nostra app è stata in grado di trovare i dispositivi persi dall'ispezione visiva, " disse Maxwell Bland, un dottorato di ricerca studente in informatica presso la UC San Diego e coautore dello studio.

In un anno di attività, Bluetana ha portato alla scoperta di 42 skimmer basati su Bluetooth in tre stati degli Stati Uniti, il tutto recuperato dalle forze dell'ordine. "Siamo rimasti sorpresi dal fatto che ci fossero così tanti skimmer sul campo che non erano stati scoperti da altri metodi di rilevamento come ispezioni manuali regolari, "ha detto Aaron Schulman, un assistente professore di informatica alla UC San Diego. "Abbiamo persino trovato due schiumatoi installati nelle pompe di benzina e che erano sfuggiti al rilevamento per sei mesi".

I ricercatori presenteranno il loro lavoro su Bluetana alla conferenza USENIX Security 2019 il 14 agosto. 2019 nell'area della baia di San Francisco.

Cosa fanno gli skimmer e quanto valgono per i criminali?

Gli skimmer hanno un alto ritorno sull'investimento per i criminali:numeri di carta di debito scremati possono essere utilizzati per prelevare contanti e numeri di carte di credito scremati per effettuare acquisti costosi. Un dispositivo di scrematura costa $ 20 o meno per la produzione e può portare a più di $ 4, 000 al giorno, a seconda di quante persone usano la pompa di benzina e di come il criminale converte i numeri rubati in contanti.

I criminali irrompono nelle pompe, molti dei quali possono essere aperti con una chiave maestra universale, per installare gli skimmer. Gli skimmer sono collegati sia alla tastiera che al lettore di banda magnetica all'interno della pompa del gas. Ciò consente ai dispositivi di raccogliere non solo i numeri delle carte dei clienti, ma anche il loro CAP e PIN di fatturazione, in caso di transazione con carta di debito.

Ci vuole Bluetana, in media, tre secondi per rilevare uno skimmer. Al contrario, I funzionari delle forze dell'ordine possono impiegare in media 30 minuti per trovare gli skimmer durante le ispezioni manuali.

"UC San Diego is an important and active partner on our Southern California Electronic Crimes Task Force, and has been able to provide technological solutions to current investigative needs, " said Special Agent in Charge James Anderson of the Secret Service. "Our office looks forward to presenting them with other investigative challenges."

Prossimi passi

As more gas stations adopt payment systems exclusively for credit and debit cards with chips, criminals will use technologies to capture information from these types of cards. Researchers will have to follow suit. Visa and MasterCard are mandating that all gas stations in the United States use the chip-based systems by October 2020.

"Bluetana is not the last word, " Levchenko said. "As criminals evolve, our techniques will need to evolve also."