クレジットカードのICチップセキュリティを突破した驚愕の手法とは？

By frankieleon

現行のほとんどのクレジットカードやキャッシュカードには、従来型の磁気ストライプではなく、より強固なセキュリティを誇る「Chip＆PIN」方式のICチップが採用されています。PINコードを知られない限り破られないと考えられていたChip＆PIN方式ですが、凄腕ハッキング集団によって強行突破され、もはや絶対的に安全とは言えない事態に陥っていることが明らかになっています。

How a criminal ring defeated the secure chip-and-PIN credit cards | Ars Technica
http://arstechnica.com/tech-policy/2015/10/how-a-criminal-ring-defeated-the-secure-chip-and-pin-credit-cards/

X-Ray Scans Expose an Ingenious Chip-and-Pin Card Hack | WIRED
http://www.wired.com/2015/10/x-ray-scans-expose-an-ingenious-chip-and-pin-card-hack/

2011年5月にフランスで発生したクレジットカードの盗難事件で、盗み出されたクレジットカードを使って大量の商品が購入されるという被害が発生しました。被害者のPINコード自体は漏洩していないと考えられることから、クレジットカードのICチップのセキュリティが突破された可能性が指摘されていましたが、詳細については明らかではありませんでした。

その後、クレジットカード盗難事件の犯人の一人とみられる25歳の女が逮捕され、盗難されたクレジットカードを使って闇市場で売りさばきやすいタバコなどが大量に購入されていたことが判明。捜索過程で盗まれたクレジットカードや現金などが押収されることになりました。なお、この事件では40枚のクレジットカードによる7000回にも上る決済で、合計60万ユーロ(約8000万円)の被害が生じたとみられています。

押収されたクレジットカードはICチップが改造されており、ICチップに「FUN」と刻印された別のチップが覆い被さるようにはんだ付けされた状態だったとのこと。

チップonチップの状態のため、通常のICチップに比べると約0.4mmから0.7mm厚みが増していたそうです。

この改造されたクレジットカードは証拠品として捜査や公判で使われるため、分解することは許されませんでした。そのため、研究者たちは物理的に破壊しないようにX線を使ってICチップを解析しました。以下の画像の緑色に色づけされた部分がクレジットカード本来のICチップです。

Chip＆PIN方式で用いられるICチップをX線で解析したのが以下の図。1番がメモリ(AT24C64)、2番がマイクロコントローラー(AT90S8515A)を示しています。

これに対してFUNチップで改造されたチップのX回線が以下の図。6番、7番で示された通り、配線が加えられて回路が変更されていることが明らかになりました。

FUNチップで回路変更されたICチップは、POSシステム上であらゆるPINコードを受け入れる状態に変更されていたことが分かったとのこと。実は、ICチップを物理的に改造してChip＆PIN方式のセキュリティを無効化するこのテクニック自体は「man-in-the-middle attack(中間者攻撃)」の一種として、2010年にケンブリッジ大学の研究者によって考案されていました。

When Organized Crime Applies Academic Results A Forensic Analysis of an In-Card Listening Device.pdf
(PDFファイル)http://eprint.iacr.org/2015/963.pdf

この研究によってChip＆PIN方式のセキュリティに脆弱性があることが明らかになったわけですが、当時は極小サイズのチップに極細の回線をはんだ付けするのに匠の業が必要なので、実現は困難だろうと考えられていました。しかし、研究成果の発表からわずか1年足らずのうちに、ハッキング手法が実現されていたというわけです。

上記研究に協力したのロス・アンダーソン教授は、今回のクレジットカードのICチップハッキングが研究が公開されたことで生み出されたのではないと推察しつつも、「いずれ誰かがこの手法を試しただろう」と述べています。もはやChip＆PIN方式のセキュリティは突破された状態と見るべきであることから、Chip＆PIN方式に変わるセキュリティ方法の導入が望まれているようです。