Danske betalingskort er blevet lænset af it-kriminelle, som benytter ny og avanceret software til i løbet af få sekunder at foretage over 100 transaktioner i et mønster, hvor den enkelte handel ser legal ud, skriver Ingeniøren.
- Jeg sidder og kigger på et eksempel, hvor der blev foretaget 30 transaktioner inden for 15 sekunder på et betalingskort, herunder på Facebook Virtual Goods, Paypal og Dominos, fortæller Kaspar Kock Kristensen, vicedirektør i Nets med ansvar for misbrugsovervågning.
- Derefter blev kortet spærret, fordi kreditmaksimum var nået. Men i løbet af det næste halve minut kom yderligere 100 transaktioner.
- For forretninger ser det ud, som om det er enkelte transaktioner. Men vi kan se, at det er misbrug foretaget ved hjælp af software. Intet menneske kan handle så hurtigt, tilføjer han.
Nets har advaret flere danske forretninger, så de undlod at sende varer til de kriminelle, og har inddraget politiet for at få igangsat en international efterforskning af angrebene.
Ifølge Kaspar Kock Kristensen har politiet gjort 'fremskridt' i efterforskningen, men hvilke fremskridt der er tale om, ønsker Kim Aarenstrup, chef for politiets Nationale Cyber Crime Center (NC3), ikke at uddybe:
- Det er den slags, vi løbende drøfter med finanssektoren. Vi rykker typisk med det samme, når vi ser nye angrebstyper som disse, der efterligner den menneskelige adfærd for ikke at blive fanget af kontrolsystemerne, der skal forhindre misbrug, siger han til Ingeniøren.
Svindlerne kan få adgang til de danske betalingskortnumre på mange måder, men oftest har de fået det gennem datalæk fra internationale kæder. Nets nævner specifikt hotelkæden Hilton, hvor hackere skaffede sig adgang til 5.000 danske kortnumre, hvoraf en del blev lænset i automatiserede angreb ved hjælp af software.
Tendensen er så ny, at det endnu er meget sparsomt med information om den, også internationalt. Partner Peter Kruse fra sikkerhedsfirmaet CSIS Security Group, der blandt andet hjælper myndigheder med at spore og forhindre it-kriminalitet, kendte således intet til den, før Ingeniørens henvendelse fik ham til at lede i sit internationale netværk.
Han konstaterer, at den automatiserede software stadig ikke har stor udbredelse, men at der kan være store gevinster for de kriminelle, der bruger den:
- Det åbner for en langt højere volumen af transaktioner. Men de, som gør det her, er hardcore, organiserede kriminelle, for det tager tid at bygge systemet omkring det op, siger han.
Nets registrerede for første gang den automatiserede svindel i andet halvår af 2015. Da blev tabene på snyd med danske betalingskort fordoblet, fordi Nets ikke kunne nå at spærre kortene, før svindlerne havde lænset dem, typisk op til grænsen på 25.000 kr. på almindelige Visa-kort.