美國六千萬張支付卡資訊遭竊的元兇？75%資料外洩起是POS

資安業者Gemini Advisory本周公布一份研究報告，指出這一年來美國總計有6,000萬張的支付卡資訊遭盜，當中有75%是從零售資訊系統（Point-of-Sale）外流。

Gemini Advisory的研究依據是自暗網中蒐集駭客所銷售的支付卡資訊，屬於美國民眾的有6,000萬張，當中有75%為實卡紀錄，顯示這些支付卡資訊是在實體商店消費者被竊走，另外的25%則是從電子商務網站外洩。

然而，Gemini Advisory真正要檢視的卻是EMV智慧卡的安全性，EMV是由Europay、MasterCard及VISA共同推動的晶片卡標準，它將資訊存放在支付卡的晶片上，晶片上的資料是加密的，用以取代容易被讀取的磁條卡，美國於2015年展開為期3年的EMV標準遷移計畫，在該計畫完成的現在，卻仍然沒有消弭實卡交易的詐騙事件。

根據調查，在美國被竊走的6,000萬張支付卡中，有93%為EMV晶片卡，此一結果反應出美國的商家並未遵循導入EMV的標準程序。

Gemini Advisory解釋，從POS盜走支付卡資訊有兩種主要途徑，一是部署POS惡意程式，其次則是利用名為Shimmer的盜卡設備，對後者而言，假設商家沒有充份部署EMV的功能，惡意人士就能輕易轉移卡片上的資訊。此外，美國的加油站尚未支援EMV，使得這些向下相容於磁條的EMV卡只能選擇磁條刷卡，也提高了資訊外洩的風險。

另一方面，這一年來暗網中所銷售的美國以外的支付卡資訊也多達1,590萬張，當中有460萬張為實體卡資訊，另有1,130萬張為非實體卡資訊。

而暗網中所銷售的支付卡資訊價格也因國別而有所不同，例如美國及加拿大一張支付卡資訊的平均售價為16美元，巴西為33美元，英國為30美元，南韓為35美元，泰國為61美元，而科威特的支付卡資訊則要價80美元。