EMV pinnen, het nieuwe pinnen, maakt het mogelijk om de chip uit te lezen om grotere bedragen van uw bankrekening af te schrijven bij het doen van aankopen. Hierin kunnen er veranderingen optreden. Namelijk, omdat dezelfde chip wordt gebruikt, kan de automaat vragen of u wilt chippen of pinnen. Hierin zult u dus voortaan bij sommige winkeliers een keuze moeten maken. Voor de rest verandert de manier van chippen niet.

Dit artikel is deel 3 van een drieluik over het nieuwe pinnen.
Deel 1: Wat is het nieuwe pinnen?
Deel 2: Het nieuwe pinnen is geen ‘grote stappen, snel thuis’

De omslag naar een nieuwe pas en op een nieuwe manier betalen is dus geen sinecure. Banken moeten de 8.450 geld automaten vervangen en winkeliers moeten nieuwe pin automaten aanschaffen. In totaal zo’n 240.000. Winkeliers moeten zelfs het lopende contract met de bank aanpassen om internationale passen toe te staan. Het streven is om alle pin- en geld automaten in de loop van 2011 vervangen te hebben.

U als consument ontspringt de dans met dien verstande dat het u gemakkelijk wordt gemaakt. U hoeft namelijk niet direct iets te ondernemen om mee te gaan anno 2011, waar fraude sterk wordt teruggedrongen.

Dit artikel is deel 2 van een drieluik over het nieuwe pinnen.
Deel 1: Wat is het nieuwe pinnen?
Deel 3: Kan ik nog wel chippen, als ik een andere pinpas heb?

Allereerst moeten wij ons afvragen wat er nu precies anders is aan ‘het nieuwe pinnen’. Het verschil is dat de chip die gebruikt gaat worden een internationale standaard vertegenwoordigd. EMV, ‘Europay, Mastercard, Visa’. Dit staat voor de (creditcard) maatschappijen die de chip hebben ontwikkeld. De achtergrond hiervan is de enorme hoeveelheid fraude met creditcards, de chip maakt het uitlezen vele malen fraude bestendiger.

Maar merkt u dan iets van deze grote verandering? Krijgt u nieuwe passen? Misschien een andere pincode? Gaat de betaling anders? Niet echt. De banken zijn al enkele jaren bezig met het aanpassen aan de chipknip aan het mogelijk maken van de chip voor pinnen. U ontvangt binnenkort wellicht een nieuwe pas, indien u geen chip hebt. Uw pincode blijft hetzelfde. Het is dus inderdaad makkelijk, maar ook zeker veiliger. Voor u verandert er niet zoveel. Voor banken en winkeliers daarentegen wel degelijk.

Dit artikel is deel 1 van een drieluik over het nieuwe pinnen.
Deel 2: Het nieuwe pinnen is geen ‘grote stappen, snel thuis’
Deel 3: Kan ik nog wel chippen, als ik een andere pinpas heb?

Het grote voordeel van pinnen via internet (ADSL of glasvezel) is dat de variabele kosten verdwijnen. Ook kunnen de transacties veel sneller worden afgehandeld dan via de traditionele oplossing met een analoge telefoonlijn, waarbij voor elke transactie moet worden ‘ingebeld’. Solcon Pin is een complete oplossing voor PIN, Chipknip en creditcards. De dienst is beschikbaar voor een vast bedrag van 10 euro per maand.

Het nieuwe pinnen

Solcon levert de pinoplossing in combinatie met een glasvezel- of ADSL-verbinding. Pinnen via ADSL is al geruime tijd mogelijk. Bij drogisterij Van Wonderen in Dronten werd op 1 juli de eerste pindienst via glasvezel officieel in gebruik genomen.
 Solcon PIN voldoet geheel aan de nieuwe eisen die worden gesteld onder de noemer ‘het nieuwe pinnen’. Op het gebied van het afhandelen van betalingsverkeer staan de komende jaren een groot aantal ontwikkelingen op stapel. Vanaf 2012 wijzigt de afhandeling van een PIN-transactie. De huidige wijze, het uitlezen van de magneetstrip op de achterzijde van de PIN-pas, verdwijnt.

Certificering

Vanaf 2012 zijn alle bankpassen in Nederland voorzien van een chip aan de voorzijde. Ook alle PIN-terminals zijn tegen die tijd geschikt voor de nieuwe manier van pinnen. Solcon kan ook de nieuwste terminals die voldoen aan deze nieuwe standaard meeleveren. Solcon heeft een uitgebreid certificeringstraject doorlopen via Currence, dat het betalingsverkeer in Nederland reguleert.

Dit is een door Solcon uitgegeven persbericht.

Het pinnen begint normaal gesproken bij de pin actie in de winkel. De pincode welke jij moet invoeren staat opgeslagen in de chip in de bankkaart en bovendien in de database van de bank. De pincode wordt gebruikt als een soort wachtwoord om de transactie te voltooien. De pincode wordt dan ook gebruikt voor verschillende doeleinden van de pas, namelijk betalen in een winkel, geld opnemen uit een automaat en internetbankieren.

Wanneer je jou pas gebruikt zal de chip zelf eerst controleren of de pincode juist is. Hiervoor is er dus ook nog geen verbinding nodig bij het pinnen via deze manier. Wanneer de chip dan zegt dat de pincode fout is zal de pas opnieuw naar de pincode vragen, maar als de persoon dit drie keer fout doet zal de chip ervoor zorgen dat er niemand meer bij kan door de pas helemaal te blokkeren.

Er is ook nog een andere manier van pinnen, namelijk de manier met de magneetstrip. Hierbij is er namelijk een verbinding met de database van de bank nodig. De gegevens worden hierbij naar de bank gestuurd en hier geverifieerd. Hierbij stopt de bank met het accepteren van je pas na drie pogingen. Door dit systeem zal het geen zin hebben de magneetstrip te kopiëren om het vaker te kunnen proberen want het wordt toch extern gecontroleerd.

Nadat de bank de pincode heeft geverifieerd zal het bedrag worden overgemaakt naar de desbetreffende persoon of winkel, waardoor er op het schermpje van het automaat komt te staan dat het pinnen is gelukt.

Nu is er bij een onderzoek van de Universiteit van Camebridge naar deze nieuwe technologie gebleken dat deze pas zware tekortkomingen heeft. De chip welke in de pinpas verwerkt is heeft namelijk een optie. Deze houdt in of je de pincode via internet laat verifiëren of niet. Het laatste kost meer moeite voor bedrijven en banken, maar is wel veiliger. Vandaar dat veel mensen dit niet doen, en hier gaan ze de fout in.

De passen zijn namelijk niet bestand tegen het “Britse” kraken. Dit houdt in dat de pas wordt gekraakt via de authenticatie procedure van de pincode. Wanneer een pinpas wordt gestolen (of gevonden) kan deze door deze methode gekraakt worden zonder enige gebruik van een pincode.

De aanval onderbreekt namelijk de authenticatie van de pincode. In een normaal geval zal de pinpas kijken of de pincode goed is en zal hierna een berichtje terug sturen, welke maar twee reacties kan opbrengen, namelijk goed of fout. Deze reacties gaan natuurlijk alleen over de pincode, namelijk of deze goed is of niet. Maar er wordt met de nieuwe EMV chip jammer genoeg niet altijd gecontroleerd of dit antwoord wel van de pas zelf komt.

En dit is het punt waar de Universiteit van Camebridge handig gebruik van heeft gemaakt. Ze hebben een computer aangesloten op hun eigen betaalsysteem en hebben deze de pincode authenticatie laten onderbreken, zodat de computer zelf een antwoord terug kan sturen naar het pinautomaat. Hierdoor heb je dus geen pincode meer nodig om bij iemands geld te komen.

Er zit alleen één gebrek aan deze methode. Je hebt namelijk altijd een pincode nodig om de transactie te verifiëren. Nu is het geval dat in landen zoals in Engeland een pinpas ook gebruikt kan worden als handtekening, waarbij er geen pincode nodig is. Waardoor de banken ook nooit een probleem zullen ontdekken in pincode-loze transacties.

Wat er tegen te doen is, is nog niet duidelijk. De optie om de pinpas via het internet te laten verifiëren is nog lang niet goed ingeburgerd. Om deze optie namelijk aan te zetten moet de eigenaar van de pinautomaat en van de pinpas verschillende aanpassingen doen, welke ook nog eens veel gaan kosten. Vandaar dat dit nog niet in veel landen gebeurd.

In Nederland hebben wij tot nu toe nog geen last van het “Britse” kraken, want in Nederland is er bij elk gebruik van deze chip een internet verificatie nodig. Daarom heeft deze manier van kraken in Nederland nu nog geen zin. Gelukkig hebben de banken hier niet op de centjes gelet, en de internet verificatie gewoon aangezet.

Het skimmen wordt tegenwoordig steeds vaker gedaan door mensen die vooral uit de Oost Europese landen komen (denk dan aan Roemenië). Er wordt geschat dat er rond de 11000 mensen bezig zijn met het illegale skimmen van bankpassen.

Er zijn tot nu toe 2 bekende manieren van skimmen. We zullen ze uitleggen en je vertellen hoe je op deze steeds populairder wordende misdaad kan beschermen.

De bekendste hiervan is het meekijken. Bij deze manier wordt vaak een camera gebruikt welke de pincode simpelweg meekijkt. Op het pinapparaat zelf is van te voren een software geïnstalleerd waardoor deze je magneetstrip kopieert. Hierdoor ben je dus door 1 transactie al je geld kwijt. Hierbij hebben de skimmers wel een stukje hardware nodig, zodat het simpeler wordt om de mensen van al hun credit card gegevens te beroven.

De tweede is een opzetbaar keypad, wat niets anders is dan een extra stukje hardware. Deze kopieert je pinpas en onthoud je code in het systeem. Hierbij hoeven de dieven eigenlijk niks zelf te onthouden, maar de informatie gewoon uit het systeem te halen.

Om je tegen deze slimme manieren van skimmen te beschermen is moeilijker dan verwacht, want meestal weet je niet hoe het de pinautomaat er normaal uitzag, en merk je dus ook niet wanneer deze is veranderd. Het best kun je dus altijd bij dezelfde pinautomaat pinnen om zo elke verandering goed te kunnen volgen.

Maar omdat er voor skimmen altijd een software geïnstalleerde moet staan op de automaat, zullen skimmers ook niet snel toeslaan op een pinautomaat welke binnen in de bank staat (ook niet buiten de bank i.v.m. camera’s). Door bij banken te pinnen zul je dus een verminderd risico lopen om slachtoffer te worden van skimmers.

Omdat het mobiele internet een snelle opkomst maakt in bijna alle Europese landen is via dit natuurlijk de makkelijkste manier om de pinautomaten vindbaar te maken. Het enige wat je namelijk nodig hebt is een mobiele telefoon met internet.

Er zijn momenteel al verschillende sites welke dit principe gebruiken. We hebben er 2 uitgelicht, namelijk de service van mastercard zelf en de amex atm vinder. We kijken hoe goed ze zijn door pinautomaten te zoeken in de omgeving van de Johan de Wittstraat, 8121 in Olst.

We beginnen met de atm vinder van amexnetwork. Deze vindt geen automaten in Nederland, we krijgen de volgende melding: “We do not currently have specific ATM locations or participating partner ATM Networks for this country.” Terwijl er toch degelijk ATM’s in Nederland zijn.

Nu om onze laatste bron te testen, gaan we naar de site van Mastercard. We vullen hier Nederland en het dorp Olst in, maar dit keer krijgen we resultaat! Hier krijgen we wel 4 pinautomaten in de buurt van onze locatie. Zo uit ons hoofd mist het programma er geen een, en is dus compleet voor onze locatie.

Om een antwoord te geven op onze inleidende vraag: Het wordt er zeker makkelijker op, maar je zult wel de site van Mastercard zelf moeten gebruiken. De andere vinder werkt gewoon nog niet goed genoeg. Het gebruiken van de vinders is nog altijd voor je eigen risico, want niet elke pinautomaat zal erop aangegeven zijn. We hebben al een paar verhalen gehoord over kleine dorpjes in bijvoorbeeld Frankrijk waar er wel één staat, maar welke niet te vinden is. Maar tot zo ver wij weten komt dit niet veel voor.

Op atm.slandr.net kan je een dorp of stad in Nederland invullen. Na dat je, je locatie hebt ingevuld en op de zoek knop hebt gedrukt,

krijgt je een mooi overzicht met een kaartje van waar de pinautomaten zich bevinden en welke bank het is!
 
De handige applicatie is gemaakt door Roeland P. Landegent (als @roelandp te volgen op twitter). Natuurlijk zijn er hiervoor ook applicaties te vinden in de Appstore voor de iPhone, en in de Android Market voor de Android toestellen maar voor de mensen die niet over z’n mobiele telefoon beschikken is dit een prachtig alternatief!