Cyberkryminalni: Skimming Reaktywacja

Wygląda na to, że Elektro wcisnął nam kit – aspirant Maczek podszedł do nadkomisarza Pawłowskiego i położył przed nim dwie białe karty kredytowe. Na każdej z nich tuż pod paskiem magnetycznym nakreślono cztery cyfry. – Pierwsza podróbka jest ze sprawy, którą zamknęliśmy trzy miesiące temu, a tę znaleziono przedwczoraj w kasecie zwrotnej bankomatu przy Nowowiejskiej. – Maczek przysunął do siebie obydwie karty.
Do nagrywania obrazów z kamery w listwie użyto zminiaturyzowanego rekordera cyfrowego.
Do nagrywania obrazów z kamery w listwie użyto zminiaturyzowanego rekordera cyfrowego.

– Czcionka na oko ta sama. To widać bez grafologa. Ale dla pewności zaniosłem do naszego labu. Oto ich opinia: tusz w obydwu przypadkach identyczny. Szerokość pisaka we flamastrze też.

– Sęk w tym – kontynuował Maczek –  że w tamtej sprawie Elektro powiedział, że zestaw do skimmingu i podróbki robili tylko we trzech. Wszystkich wtedy przymknęliśmy i aktualnie kiblują. Wniosek: Elektro kłamał. Musi być jeszcze ktoś. Wtedy, jak zgarnialiśmy grupę Elektro, ten gość się przyczaił, ale teraz wraca do gry. I to na szerszą skalę. – Maczek wyciągnął iPhone’a, uruchomił przeglądarkę zdjęć i podał go Pawłowskiemu. – Rano dzwonili do mnie z banku. Wczoraj w nocy bankomaty na Piłsudzkiego i Żmigrodzkiej zatrzymały kolejnych siedem kart. Jeszcze ich nie mam, ale poprosiłem o fotki. Emailem. Niech pan sam popatrzy.

Pawłowski przybliżył iPhone’a do oczu i przez jakiś czas bez słowa oglądał zdjęcia podróbek. Czcionka imitowała styl znany z wyświetlaczy cyfrowych, żeby ukryć indywidualny charakter pisma, ale sam sposób prowadzenia flamastra mógł świadczyć o tym, że napisy wykonała ta sama osoba, która przygotowała fałszywki w sprawie zamkniętej trzy miesiące wcześniej. Nadkomisarz oddał telefon aspirantowi i zamyślił się. – No to nie ma rady – odezwał się po jakimś czasie. – Trzeba pogadać z tym Elektro. Dzwoń do prokuratury.

Przestępcy nie wzięli pod uwagę, że przy bankomacie zamontowano dodatkową kamerę. Wykonane przez nią zdjęcie pomogło w identyfikacji jednego z nich.

Przestępcy nie wzięli pod uwagę, że przy bankomacie zamontowano dodatkową kamerę. Wykonane przez nią zdjęcie pomogło w identyfikacji jednego z nich.
Bez nikotyny miał amnezję

Elektro był na oko jeszcze przed trzydziestką – drobny, z leninowską bródką, ubrany we wzorzysty sweterek, w okularach na nosie. Odsunął talerz z resztkami jedzenia, poklepał się po brzuchu i bezczelnie uśmiechnął do siedzącego naprzeciw niego policjanta. – No, nareszcie zjadłem prawdziwy obiad. I Bóg wam za to zapłać, panie aspirancie. Nawet pan nie wie, jakie podłe żarcie serwują w tym cholernym kiciu. A teraz chcę zapalić.

– Elektro, nie przeginaj pały! Powiedziałeś, że jak ci zamówię schabowego, to sobie przypomnisz. No więc sobie teraz przypominaj – aspirant Maczek ściągnął brwi, ale ten sygnał nie zrobił na osadzonym wrażenia. Uśmiechnął się jeszcze szerzej i powiedział: – Bez nikotyny po jedzeniu mam amnezję.

Maczek pokręcił głową w niemym proteście, ale w końcu poczęstował go papierosem. Poczekał, aż wypuści pierwszy haust dymu, i odezwał się ponownie:

– No dobra, Elektro, podjadłeś na koszt podatników, zapaliłeś na mój, koniec zabawy. Mów, kto ci wtedy pomagał.

– Dobra, ale najpierw muszę pomyśleć. – Elektro założył ręce za głowę, wydmuchał kolejną porcję dymu i położył nogi na biurko. Pozostał w takiej pozycji przez dobre pół minuty, a potem szybko się wyprostował, jakby faktycznie coś sobie przypomniał, i popatrzył na Maczka.

– Pomagała mi babcia.

– Pomagała ci babcia? – aspirant mimowolnie powtórzył za nim i wytrzeszczył ze zdziwienia oczy,  a Elektro wybuchnął długo tłumionym śmiechem. – No co pan! Chyba pan nie myślał, że wsypałbym rodzoną babkę. Pomagała mi babcia Kaczora Donalda – poziom rechotu wzrósł o kilka decybeli, a Maczek bez słowa wstał zza biurka i zapytał: – Robisz sobie jaja? Elektro też się podniósł. Zmiana nastroju dokonała się błyskawicznie: jeszcze przed chwilą się uśmiechał, a teraz był wściekły. – A co pan sobie myśli? Zapuszkowaliście mnie na 5 lat, a pan oczekuje współpracy w zamian za żylastego schaba?! A co ja będę z tego miał? Jak się wyda, że puściłem farbę, to skończę z kosą w plecach – podniósł się i ruszył w stronę drzwi. – Za obiad dzięks, a teraz chcę do celi.

Zamontowana nad klawiaturą bankomatu listwa z miniaturową kamerą pozwalała na odczytanie sekwencji kodu PIN.

Zamontowana nad klawiaturą bankomatu listwa z miniaturową kamerą pozwalała na odczytanie sekwencji kodu PIN.
Trop z labu

– Czyli nic z niego nie wydusiłeś? – zapytał Maczka nadkomisarz Pawłowski. Znajdowali się w policyjnym laboratorium kryminalistycznym na peryferiach Wrocławia. Na stole przed nimi leżała część sprzętu zarekwirowanego w sprawie Elektro: rozmontowana listwa do skimmingu i programator kart kredytowych.

– Dokładnie nic. Mówiąc wprost: pełna klapa – potwierdził aspirant i westchnął. – Trzymał się dokładnie tego, co nam powiedział przy tamtym śledztwie: że pracowali tylko w trzech i że wszystko robili sami. Z tego, co zrozumiałem, to po prostu trzęsie gaciami, że jak wyjdzie na mieście, że zakapował kumpli, to po odsiadce będzie miał przechlapane. Ma prawo milczeć. Nic nie można więcej zrobić.

– Z Elektro nie, ale z jego sprzętem tak. – Szef laboratorium podszedł do policjantów i podniósł ze stołu listwę skimmingową. – Jak widzicie, wykonano ją z pleksi. Wygląda na robotę chałupniczą, ale spójrzcie tu – odwrócił listwę tak, że zobaczyli umieszczoną w jej wnętrzu elektronikę, po czym wskazał na jedną z krawędzi. – Pleksi to delikatne tworzywo. Żeby ją tak wygiąć, trzeba mieć specjalistyczny sprzęt. Inaczej po prostu pęknie. To samo dotyczy programatora – kontynuował, wskazując na drugi z przedmiotów. – Nie sprzedaje się ich w supermarketach. Wyłącznym dystrybutorem tego modelu jest firma z Warszawy. Odłożył listwę i popatrzył na policjantów.

Partnerem serii jest Mediarecovery – lider informatyki śledczej
www.mediarecovery.pl

Dane kart kredytowych zdobyte podczas skimmingu zapisywano na fałszywkach za pomocą ogólnie dostępnego programatora kart MT-85.

Dane kart kredytowych zdobyte podczas skimmingu zapisywano na fałszywkach za pomocą ogólnie dostępnego programatora kart MT-85.

– Podsumowując, to już robota dla was. Jeśli ten, który w tamtym śledztwie wypisywał PIN-y na fałszywkach, to ten sam, który robi to teraz, jest duża szansa, że kupował programator. A jeśli na dodatek to on, a nie Elektro, budował zestaw skimmingowy, to musiał instruować wykonawcę, jak wygiąć listwę. Wniosek: trzeba odnaleźć obydwie firmy i pogadać.

Identyfikacja

Niebieski volkswagen zaparkował na podjeździe niewielkiego budynku z nieotynkowanej cegły. Aspirant Maczek wyłączył silnik i ruszył w kierunku metalowych, lekko uchylonych drzwi, zza których dobiegał hałas pracującej maszyny. – Dzień dobry – powiedział już w środku do pochylonego nad frezarką mężczyzny.

Ubrany w wyświechtany fartuch osobnik lat około czterdziestu wyłączył maszynę i popatrzył w kierunku policjanta.

– Dzień dobry – odpowiedział i uśmiechnął się jak usługodawca do potencjalnego klienta: szeroko i nieszczerze.

– Aspirant Maczek – przedstawił się policjant i podszedł bliżej. – Pan Wargacki? – zapytał i widząc twierdzące kiwnięcie głową, ciągnął dalej. – Rozmawialiśmy wczoraj przez telefon. Mówiłem, że do pana podjadę, jak będę na Psim Polu. Chodzi o tę listwę.  – Wyciągnął z kieszeni wydruk. – Czy wyglądała jak ta? Wargacki wziął od niego fotografię i uważnie się jej przyglądał. – Tak. To ta – powiedział po chwili. Oddał wydruk aspirantowi i poczłapał w kierunku półki z segregatorami. – Prosił pan, żebym sprawdził w papierach, kto ją zamawiał. I znalazłem. Zlecenie z sierpnia – wrócił i chciał podać policjantowi druk firmowego zamówienia, ale ten go nie wziął, ponieważ w kieszeni zaświergotał mu właśnie iPhone. Na wyświetlaczu pojawił się numer Pawłowskiego.

– No cześć. Chyba jest przełom w sprawie – w głosie nadkomisarza wyczuwało się nutę entuzjazmu. – Zaraz jak wyszedłeś z komendy, przysłali mi zdjęcie z banku. Okazuje się, że przy bankomacie na Żmigrodzkiej jest dodatkowa kamera. W neonie reklamowym, piętro wyżej. Nie wiedzieli o niej. Tego, który wybierał pieniądze, nie widać, ale ten drugi wyszedł całkiem nieźle. Podsyłam ci fotkę. Może się przyda.

Maczek rozłączył się, wszedł w program pocztowy. Już po chwili w przeglądarce slajdów iPhone’a pojawiło się nowe zdjęcie. Widoczny na nim osobnik miał charakterystyczną zwalistą sylwetkę. Z pełną identyfikacją mógł być problem, ponieważ z powodu kiepskiej jakości slajdu rysy twarzy były niewyraźne. Mimo to Maczek postanowił spróbować i podał komórkę Wargackiemu. – Czy to ten, który zlecał zrobienie listwy?

Zapytany przybliżył twarz do wyświetlacza. – Ten grubas wygląda podobnie – odezwał się po jakimś czasie. – Ale było ich dwóch. Mówili, że mają firmę – podał policjantowi zamówienie, które przed minutą wyszperał w segregatorze. – Tu ma pan wszystko: NIP, REGON i adres ich siedziby.

Trudna decyzja

– Sam nie wiem – prokurator się wahał. Miał około 35 lat, solidny brzuch i widoczną w promieniach wpadającego do sali odpraw słońca łysinę. Poluzował krawat i zbliżył do oczu wydruk. – Nie jestem przekonany, czy to wystarczy. Na razie widzę same poszlaki. A potrzebuję dowodów.

– Znajdziemy, jak wydasz nakaz przeszukania – nadkomisarz Pawłowski upił łyk wody mineralnej, odstawił szklankę na biurko i popatrzył w notatki. – Wiemy, że jest ich dwóch. Zamawiając listwę, zostawili swoje prawdziwe dane u producenta neonów reklamowych. Obydwaj mieszkają na stałe w Wałbrzychu i mamy ich na oku. Do tego ich numery telefonów znaleźliśmy w zarekwirowanej komórce Elektro. Potwierdziło się też, że programator kart kredytowych kupiła firma zarejestrowana na jednego z nich. Co mam ci jeszcze dostarczyć?

– Ja to wszystko rozumiem i uważam, że dobrze typujecie. Ale jest zasadnicza różnica pomiędzy dowodem operacyjnym a dowodem procesowym. Co z tego, że zamawiali listwę i programator. To nie przestępstwo. Zresztą do wszystkiego przyznał się Elektro. Wezmą dobrego adwokata i wyłgają się z tego. Potrzebuję czegoś więcej.

Porównanie podróbek umożliwiło powiązanie prowadzonej sprawy z poprzednią – charakterystyczna czcionka i zbadany laboratoryjnie skład chemiczny tuszu mogły świadczyć o tym, że obydwie karty pochodzą z tego samego źródła.

Porównanie podróbek umożliwiło powiązanie prowadzonej sprawy z poprzednią – charakterystyczna czcionka i zbadany laboratoryjnie skład chemiczny tuszu mogły świadczyć o tym, że obydwie karty pochodzą z tego samego źródła.

– Mamy coś więcej – Pawłowski otworzył szufladę i wyciągnął z niej zapakowaną w foliowy worek białą kartę kredytową z odręcznie nakreślonym kodem PIN.

– Wygląda tak samo jak pozostałe. Ale jest różnica. To kopia karty wydanej przez bank dwa miesiące temu. Tak wynika z analizy danych na pasku magnetycznym. Nie mogli jej zrobić za pomocą skimmera, który znaleźliśmy w mieszkaniu Elektro, bo od trzech miesięcy cały sprzęt jest u nas. Wniosek jest prosty. Mają nowy skimmer. Ale nie noszą go przecież ze sobą. Krótko i na temat: wydasz nakaz, wchodzimy i mamy dowody. Nie wydasz, utkniemy z tematem na dobre.

Prokurator wziął z biurka kartę i przez jakiś czas patrzył na nią apatycznie. Odłożył ją na blat, przygładził rzednące włosy i westchnął. – Dobra, dam wam nakaz. Ale lepiej, żebyście coś znaleźli.

Partnerem serii jest Mediarecovery – lider informatyki śledczej
www.mediarecovery.pl

Wybita szyba

Drzwi wyglądały na solidne: obite grubą blachą z zapadkami antywłamaniowymi przy zawiasach. Ubrany w skórzaną kurtę,  dżinsy i adidasy mężczyzna nacisnął dzwonek i odsunął się, żeby lokator bez problemu mógł go obejrzeć przez judasza. Doszły do niego odgłosy kroków, wizjer zrobił się na moment jaśniejszy, i po chwili usłyszał: – Kto tam?

– Lesicki jestem. Sąsiad z parteru.  Kojarzy pan? Pan parkuje zawsze przy siatce na naszym parkingu, prawda? Ktoś wybił tylną szybę w zielonym passacie. Nie chcę się wtrącać, ale to chyba pański.

Zarekwirowane w śledztwie karty były owinięte w bandaże nasączone łatwopalnym materiałem i gotowe do zniszczenia na sygnał z komórki.

Zarekwirowane w śledztwie karty były owinięte w bandaże nasączone łatwopalnym materiałem i gotowe do zniszczenia na sygnał z komórki.

Zazgrzytał zamek i drzwi się otworzyły. Stojący w nich otyły mężczyzna był ubrany tylko w szlafrok i omal nie dostał zawału, gdy zrozumiał, że padł ofiarą podstępu. Schowany za ścianą policjant z oddziałów antyterrorystycznych za bardzo się z nim nie certolił – mocnym kopnięciem otworzył drzwi na całą szerokość. Dwaj stojący za nim antyterroryści ruszyli do środka, a on szybko obezwładnił podejrzanego.

Już podczas pobieżnego przeszukania okazało się, że policyjny podstęp był jak najbardziej uzasadniony. Znalezione w toalecie pliki czystych kart kredytowych zawinięto w bandaże nasączone łatwopalną substancją. Na każdym pakunku umieszczono elektroniczny detonator. Jak potem ustalono w śledztwie, wystarczyło, żeby zatrzymamy Arkadiusz P. wybrał odpowiedni numer na komórce, żeby wszystkie dowody poszły z dymem.

W mieszkaniu drugiego zatrzymanego, Marka J., znaleziono w skrytce 60 tys. złotych, których pochodzenia nie umiał wyjaśnić. To wystarczyło, żeby obydwu osadzić w areszcie. Ciągle brakowało jednak głównego dowodu: sprzętu do skimmingu, który wykorzystano do pozyskania danych dotyczących ostatniej przechwyconej serii sfałszowanych kart.

W czarnej walizce, którą przechowywał znajomy podejrzanych, pod podwójnym dnem ukryto najważniejsze dowody w sprawie: skimmery i pisaki używane do oznaczania fałszywek.

W czarnej walizce, którą przechowywał znajomy podejrzanych, pod podwójnym dnem ukryto najważniejsze dowody w sprawie: skimmery i pisaki używane do oznaczania fałszywek.
Czarna walizka

– Będziecie nas bić albo zamkniecie na 48 bez wody? – na twarzy jednego z aresztowanych widać było wesołość, ale wprawny psycholog natychmiast wyczułby w niej domieszkę zdenerwowania i niepewności.

– Nic z tych rzeczy. Działamy zgodnie z prawem – odparł spokojnie aspirant Maczek, po czym metodycznie przedstawił im wszystkie potwierdzone zarzuty i zebrane do tej pory dowody. Jedno było pewne: pójdą siedzieć. Pytanie: na ile. – Jeśli będziecie współpracować – kontynuował Maczek – sąd weźmie pod uwagę waszą dobrą wolę i na pewno potraktuje łagodniej. Jeśli nie, możecie zaliczyć po 10 lat, bo tyle będzie domagał się prokurator.

Drugiego dnia zdecydowali się współpracować. Arkadiusz P. podał adres kolegi, u którego zdeponował czarną walizkę z szyfrowym zamkiem. Zarekwirowano ją podczas kolejnego przeszukania w jednym z wałbrzyskich mieszkań. W walizce znajdował się cyfrowy rekorder obrazu, gotówka oraz urządzenia nadawczo-odbiorcze montowane w listwie.

Pod podwójnym dnem zarekwirowanej w śledztwie walizki znajdowały się skanery służące do przechwytywania danych z kart kredytowych.

Pod podwójnym dnem zarekwirowanej w śledztwie walizki znajdowały się skanery służące do przechwytywania danych z kart kredytowych.

Największa niespodzianka kryła się pod podwójnym dnem: znaleziono tam dwa sprawne skanery, które przymocowuje się do szczeliny bankomatu, flamastry używane do opisu kart oraz kastę wideo, na której przestępcy nagrali filmy przestawiające wybrane bankomaty w całej Polsce. Jak się potem okazało, były to lokalizacje rozważane jako miejsca do montowania aparatury skimmingowej w przyszłości.

W przeprowadzonym zaledwie tydzień później eksperymencie procesowym przestępcy “uzbroili” na próbę jeden z funkcjonujących bankomatów na peryferiach  Wrocławia – listwę skimmingową umieścili nad jego klawiaturą, a skaner odczytujący kody zamocowali przy szczelinie na karty kredytowe. Oto jak działał cały system: akustyczny sygnał ze skanera drogą radiową trafiał do listwy, która go retransmitowała do odbiornika docelowego, zainstalowanego w samochodzie przestępców. Dane utrwalano na cyfrowej taśmie wideo. Zaraz po nagraniu kodu paska na tę samą taśmę trafiał obraz z zamontowanej w listwie kamery.

Dalsza obróbka, już w domowym zaciszu, polegała na wyodrębnieniu z sygnału akustycznego początkowej sekwencji danych na pasku magnetycznym karty. Następujące po nim impulsy należało zamienić na liczby dziesiętne, które stanowiły identyfikator karty. Te dane służyły do programowania fałszywek. Z obrazu dłoni osoby wybierającej cyfry na klawiaturze odczytywano kod PIN.

Epilog

Tylko dzięki temu, że banki zdawały sobie sprawę z powagi sytuacji i błyskawicznie zastrzegały całe serie kart, nie doszło w tej sprawie do poważnych nadużyć. W sumie dokonano malwersacji na sumę około 100 tys. złotych. Obydwaj podejrzani zostali osądzeni i prawomocnym wyrokiem skazani na karę 6 lat (Arkadiusz P.) i 4 i pół roku (Mariusz J.) więzienia. Osoba, u której znaleziono walizkę, została uniewinniona, ponieważ nie znaleziono dowodów na to, że wiedziała o przedmiotach, które były w niej przechowywane.

Przemysław Krejza, dyrektor ds. badań i rozwoju Mediarecovery

Przemysław Krejza, dyrektor ds. badań i rozwoju Mediarecovery

Ewolucja skimmingu

Skimming w obecnej, doskonałej formie nie powstał od razu, lecz ewoluował. Oto kolejne etapy tego procederu:

Skimming pośredni – przestępcy zapisują numery kart, np. w restauracjach czy punktach usługowych, po czym  wykonują ich fizyczne duplikaty. W tamtych czasach karty nie miały jeszcze paska magnetycznego, przyciskało się je jedynie do czytnika. Przestępca musiał się więc nauczyć jedynie podrabiać podpis poszkodowanego, aby robić zakupy na jego koszt.

Skimming pełny – polega na montowaniu kamer nad klawiaturą bankomatu (kradzież PIN) i skanera przy szczelinie na kartę lub w drzwiach otwierających salę bankomatową. Zdobyte informacje wykorzystuje się do programowania fałszywek.

Skimming nakładkowy – przestępcy demolują bankomat i kradną z niego klawiaturę. Po przeróbkach elektronicznych przytwierdzają ją do innego bankomatu. Pasek magnetyczny kopiowany jest tak samo jak w skimmingu pełnym, a kody PIN wysyła przerobiona nakładka.

Partnerem serii jest Mediarecovery – lider informatyki śledczej
www.mediarecovery.pl