NFC-maksu (lähimaksu) ja tietoturva kortilla - älä usko kaikkea

Lähimaksun turvallisuudesta kysytään usein. Kun maksu tapahtuu niin nopeasti ja helposti, eikä edes PIN-koodia kysytä, se ei mitenkään voi olla turvallista, eihän? Kerrotaan, että maailmalla rikolliset skannaavat laitteillaan ohikulkijoiden korttitiedot lompakosta tai käsilaukusta.

STT:n välittämän "uutisen" mukaan lähimaksun hakkerointi on helppoa ja onnistuu jopa metrin päästä. Tiedote on mennyt läpi ainakin Verkkouutisilla, joka julkaisi sen. Uutisessa viitataan yrityksen markkinointivideoon, joka alalle ominaiseen tapaan liioittelee ja dramatisoi.

Ensinnäkään kortin lukeminen ei tietääkseni ole mahdollista metrin päästä -- ei millään laitteella. Lukuherkkyyden lisääminen ei riitä, koska siru on passiivinen ja lukijan pitää lähettää siihen myös energiaa. Siksi metrin päästä lukemisen voi unohtaa. Joka toista väittää, näyttäköön siihen pystyvän laitteen sen sijaan, että siteeraa netissä liikkuvia väitteitä.

Videolla hakkeri istuu toisen henkilön viereen, sijoittaa puhelimensa uhrin käsilaukun lähelle ja lukee kortin tiedot langattomasti. Ilmeisesti puhelin toimii proxy-laitteena, joka välittää kortin tiedot langattomasti hakkerin kumppanin puhelimeen, joka samanaikaisesti maksaa tiskillä oluet.

"Uusin tapa" liittynee siis korttitietojen välittämiseen puhelimesta toiseen ja suoraan kassalla tapahtuvaan maksamiseen. Idea on sama kuin autojen älyavainten huijaamisessa proxyn avulla. Tämä on kieltämättä näppärää: jos temppu onnistuu, uhrin on vaikea huomata ylimääräisiä veloituksia, koska hän on itsekin asioinut kyseisessä kaupassa. Vielä vaikeampaa olisi todistaa, että kahviosto oli kyllä oma, mutta oluita en ostanut.

Video näyttää aivan suomalaiselta, mutta on kansainvälinen mainos ja siitä on eri kielisiä versioita, mm. englanti ja ruotsi.

Näin helppoa on maksukortin etäluku ja varkaus - väitetään.

Videolla mainitaan myös Credit Card Reader -niminen Android-sovellus. Kokeilin oman Nordean Mastercard-kortin lukemista sillä. Luku onnistui pitämällä puhelinta enintään muutaman millin päässä kortista, eikä puhelin saanut liikkua yhtään. Kortin pitää olla puhelimen keskellä, missä NFC-lukija sijaitsee.

Luku onnistuu vain, mikäli puhelin pysyy aivan paikallaan. 

Se siitä metrossa tai bussissa ohimennen lukemisesta. Ei onnistu ainakaan tavallisella puhelimella. Erikoislaite voi olla tehokkaampi ja nopeampi.

Kun luku sitten onnistui, tuloksena oli oikea voimassaoloaika, mutta kortilta saatu numero oli debit-numero, jota ei voi käyttää ulkomaisista verkkokaupoista tilaamiseen (tämä korjattu 8.11.2017). Myöskään kortilla olevaa nimeä saati kääntöpuolen CVV-koodia ei saatu luettua. Varmuuden vuoksi tiedot on kuvassa osittain peitetty.

Kortilta luetut tiedot.

Kiinnostavaa kyllä, Transactions-sivulla näkyi todellakin kortilla tehdyt viimeiset ostokset päivämäärineen ja summineen, sekä maksullisessa (5,49 euroa) Pro-versiossa myös transaktioiden laskuri (1839).

Voi olla, että jokin toinen ohjelma lukisi numeron oikein. Ja on muutamia harvoja nettikauppoja, joista voi ostaa pelkällä kortin numerolla ja voimassaoloajalla. Silti korttitietojen kaappaamisen riski on vähäinen. Lähimaksun kokonaisturvallisuus on hyvä, sillä riskialtis PIN-koodin syöttö jää pois ja lähimaksun ostos on rajattu 25 euroon.

Älypuhelinten lähimaksut (Apple Pay, Nordea Pay) ovat vielä turvallisempia, koska niissä maksu aktivoidaan vasta kassalla, eikä tietoja voi lukea salaa.

Video mainostaa ratkaisuna Cardprotect-suojakuorta (www.cardprotect.fi, 19,90 euroa), joka estää kortin tietojen lukemista. Kyse on siis mainoksesta, jonka perustelut ovat vähintään liioittelevia ja osin jopa valheellisia.

Mainos väittää, ettei kaksi päällekkäistä lähimaksukorttia estäisi etälukua. Olen kokeillut asiaa kassakoneella ja todennut, että kyllä estää. Korttien pitää kuitenkin olla oikein päin, niin että sirut osuvat päällekkäin. Mainosvideolla alimpana käytetään HSL:n matkakorttia, joka ei toimi tässä tarkoituksessa. Mutta toinen pankki- tai luottokortti toimii, sillä etälukija ei pysty erottamaan korttien siruja toisistaan.

Ei siis kannata uskoa kaikkea pelottelua, mitä turvallisuuden nimissä harrastetaan! Tämän päivän tilanteessa lähimaksu on turvallista ja näppärää.

Käytössäsi olevan kortin uusinta

Nordea muisti kirjeellä, jonka otsikkona oli yksinkertaisesti Käytössäsi olevan kortin uusinta. Viestinä kerrottiin, että kortti uusitaan turvallisuussyistä. "Käytössäsi olevan kortin tiedot ovat mahdollisesti vaarantuneet tietomurron yhteydessä. Tästä syystä saatamme joutua turvallisuussyistä estämään nykyisen kortin credit-ominaisuuden käytön. Olemme tilanneet sinulle uuden kortin uudella korttinumerolla".

Olisi kiinnostavaa tietää, mikä tietomurto on kyseessä. Sitä kirje ei kerro. Oliko korttinumero oikeasti päätynyt vääriin käsiin? Sitäkään ei mainita. Voisinko jatkossa olla varovaisempi? Ei aavistustakaan. Toivottavasti uusi tietosuojadirektiivi lisää yritysten velvollisuutta tietojen kertomiseen.

Nordea lohduttaa lihavoidulla väliotsikolla että "Uusi kortti, sama tunnusluku". Onhan sekin jo jotain. Aktiiviselle verkko-ostajalle suurempi ongelma on kortin numeron, voimassaoloajan ja sen toisen tunnusluvun (CCV) muuttuminen. Niiden opettelu vie aikansa, ja uuden kortin tiedot on päivitettävä kaikkiin niihin palveluihin, joissa on jatkuva kuukausiveloitus. Netflix ja Spotify ovat jo muistuttaneet sähköpostilla veloituksen epäonnistumisesta ja kehottaneet korjaamaan tiedot.

Kiinnostavaa on, että Nordean uusi kortti tuli tavallisessa kirjekuoressa kadun vieressä olevaan postilaatikkoon. Mukana oli vain ohjeteksti "Allekirjoita korttisi ennen käyttöönottoa."

Postin tuoma kortti on allekirjoituksen jälkeen valmis käyttöön.

Jos joku olisi napannut kirjekuoren laatikosta, hän olisi saanut käyttövalmiin kortin. Sillä olisi voinut tilata tavaroita ulkomaisista verkkokaupoista, koska numero, voimassaoloaika ja CCV-koodi ovat tiedossa. Kotimaiset kaupat varmistavat luottokorttiostokset yleensä pankkitunnuksilla, mikä antaa lisää suojaa.

Silti odottaisi, että kortti pitäisi vähintään kuitata verkkopankissa ennen käyttöönottoa. Pankit ovat erittäin tarkkoja tietomurroista ja verkkorikoksista, ja vaihtavat kortteja jopa varmuuden vuoksi, mutta lähettävät silti kortteja tavallisissa kirjekuorissa, vaikka postivarkauden riski on ilmeinen.

Vielä toinen asia verkkopankeista. Tänään 2. pääsiäispäivänä sähköpostiin ilmestyi viesti OP-pankilta:

Näyttää tiedonkalastelulta.

Yleinen muistisääntö on, etteivät suomalaiset pankit koskaan lähetä oma-aloitteisesti sähköpostia asiakkailleen. Niinpä tämänkin täytyy olla huijausviesti, joka kalastelee tunnuksia. Eikä viesteissä ainakaan pitäisi olla linkkiä nettipalveluun!

OP:n viesti on ymmärtääkseni aito, vaikka näyttääkin erittäin epäilyttävältä. Pankin pyhäpäivänä lähettämä viesti, jossa on toimiva linkki, rikkoo kaikkia tietoturvasta annettuja ohjeita. Linkki tosin on sähköpostiohjelman itsensä luoma -- Outlook ei sitä näytä, mutta Macin Mail näyttää:

Macin Mail-sähköposti näyttää jopa toimivan linkin.

OP:n viesti ei ole varsinainen tietoturvariski, mutta vastaanottajan kannalta se on erittäin hämäävä. Olisikohan myös OP:lla syytä tarkistaa menetelmiään?