Los Shimming son una evolución del esquema de ataque skimming que permite clonar los datos del Chip EMV de las tarjetas. Básicamente un shimmer es una delgada placa que se coloca dentro del lector de tarjetas, por lo cual es imperceptible para el usuario en la mayoria de casos. Por su tamaño, puede ser insertada desde fuera del ATM (usualmente lo hacen desprendiendo la capa protectora que facilita al usuario insertar la tarjeta) y volviéndola a pegar instantes después. Esto pueden hacerlo en cuestión de segundos, llegando a ser imperceptibles para las cámaras de seguridad.

1

2

Los primeros casos se presentaron en México, aproximadamente Agosto del 2015. Desde entonces, los ataques bajo este MO se han incrementado en la región.

Hoy en día en el mercado se venden los dispositivos para el Shimming con costos entre 2.000$ y .5000$ y su aplicación, explicada en línea, pone en evidencia lo accesible que se encuentran.

3

¿Cómo funciona?

  1. El dispositivo es colocado en el ATM o POS. Insertando el lector EMV CHIP CARD SHIMMER DEVICE en el lector de tarjetas CHIP utilizando una tarjeta de soporte y pegamento. Así el EMV CHIP CARD SHIMMER DEVICE, queda ubicado perfectamente en el lector de tarjetas CHIP y no se extiende más allá de la cubierta.

5

6
Ejemplo de un shimmer con el diseño sin conector tierra para la lectura del chip EMV

7
Ciudadano rumano arrestado en Mexico con la posesión de un dispositivo de Shimmer

  1. Una vez que el usuario introduce la tarjeta en el ATM, son capturados los datos sensibles del Chip.

  2. Para extraer los datos del dispositivo EMV CHIP CARD SHIMMER montado, se conecta con a un teléfono, tableta o laptop bluetooth al dispositivo EMV CHIP CARD SHIMMER o utilizan una tarjeta especial para descargar la información. Los datos se transferirán automáticamente a la tarjeta inteligente. El registro de la memoria almacenada en el DISPOSITIVO SHIMMER DE LA TARJETA CHIP EMV se eliminará automáticamente después de que retire la tarjeta inteligente especial para volver a escribir los datos de las siguientes tarjetas CHIP siguientes.

EL DISPOSITIVO SHIMMER DE LA TARJETA CHIP EMV permanecerá en el lector de tarjetas, para continuar recolectando copias de los datos de las otras tarjetas insertadas en el lector. El resultado final es una copia exacta de la tarjeta original.
8

Para evitar ser víctimas de estos ataques, recomendamos:

  • Actualizar y tener en el protocolo EMV los parámetros ARQC dinámicos o también conocido como full EMV en todo el entorno de aceptación de tarjetas CHIP EMV desde Cajeros ATMs a PoS y tener el servidor de transacción configurado correctamente

  • Implementar tecnología anti-skimmer que permita detectar dispositivos de insercción profunda en el card reader durante un tiempo prolongado.

  • Para ATMs que tengan ya cierta tecnología anti-skimmer es recomendable correlacionar esto eventos para determinar el momento concreto en el cual estos dispositivos están siendo implementados