Hacker raadt nummers nieuwe credit cards

American Express gebruikt kennelijk een nogal zwak algoritme om nieuwe creditcardnummers te genereren. De Amerikaanse hacker Samy Kamkar is in ieder geval in staat om correct te voorspellen wat het nieuwe kaartnummer is en wat de vervaldatum zal zijn van een creditcard die vervangen wordt. Omdat ook de cve-code van de oude kaart werkzaam blijft bij de nieuwe, heeft een slachtoffer van diefstal er dus feitelijk niets aan om zijn kaart als gestolen op te geven.

Redactie AG ConnectMeer van deze auteur

Een dief die over Kamkars inzichten beschikt, weet meteen ook de cruciale gegevens van de vervangende kaart.

Kamkar heeft zijn vinding getest op eigen creditcards en tientallen van vrienden en kennissen. Daarbij haalde hij een score van 100 procent. Hij heeft Amex al in augustus op de hoogte gesteld van zijn ontdekking; dat heeft nog niet gereageerd.

Kamkar maakt het algoritme van Amex dat hij ontdekte niet openbaar. Hij heeft het - op proef - wel ingebouwd in zijn MagSpoof-emulator voor creditcards. Het apparaatje kan al de informatie van al je creditcards en magneetstrips in één apparaatje onderbrengen. En het kan ook de chip-en-pinbeveiliging omzeilen. In Europa is het al lange tijd nodig om bij een aankoop een pincode in te toetsen. Maar in de VS verloopt die transitie langzaam. Kamkar ontdekte dat je een creditcard met chip heel eenvoudig kunt zo kunt manipuleren dat een point-of-sale-terminal denkt dat er gen chip in zit, en dus overstapt op het uitlezen van de magneetstrip.

Meer informatie is te vinden in Samy Kamkars beschrijvng van MagSpoof op Github. Daar zijn ook schema's te vinden van zijn MagSpoof, maar dan alleen voor het gedeelte waarmee je je creditcards kunt opslaan. De functionaliteit om creditcardnummers van American Express te voorspellen en de methode om point-of-sale-terminals voor d egek te houden, houdt Kamkar voor zich.