De werkwijze

De ATM of betaalterminal prepareren

De eerste stap was het prepareren van een ATM of van de betaalterminal van een merchant. Bij een ATM monteerde de fraudeur op een rustig tijdstip, bij voorkeur 's nachts, een leesapparaat voor de invoersleuf. De volledige informatie van de magneetstrip werd dan gelezen en naar een geheugen weggeschreven. Bij merchants liet een fraudeur zich insluiten of brak hij na sluitingstijd in; ook daar kwam een leesapparaat bij de sleuf.

Bij de vierkante XENTA-terminal van Banksys ging een compleet omhulsel met leesapparaat over de terminal heen. Op het eerste gezicht zag een merchant niet dat zijn terminal was geprepareerd. Banksys bedacht daar een simpele tegenmaatregel voor: een mal met de juiste afmetingen, dagelijks over de betaalterminal heen, om te zien of het apparaat niet te dik was geworden.

De pincode bemachtigen

De tweede stap was de pincode van de kaarthouder ontfutselen. Een veelgebruikte methode was een minicamera boven het keypad, geplaatst in of aan de rand van de ATM. Bij merchants waren plafondplaten favoriet: gips, smaakvol wit, met fraaie willekeurige zwarte stippen. Een klein gaatje met een lens valt daarin nauwelijks op.

De andere route liep via het keypad zelf. In de Verenigde Staten zijn gevallen bekend waarin de originele losse keypads werden vervangen door exemplaren die de trackdata draadloos naar de fraudeurs seinden. In Nederland ging dat minder eenvoudig. Tot eind 2008 kon de HFT201-betaalterminal betrekkelijk gemakkelijk worden opengeschroefd. Onder het normale keypad paste dan een tweede keypad, dat de toetsaanslagen van het originele keypad registreerde en in een geheugen bewaarde. Een paar dagen later brak de fraudeur opnieuw in, schroefde de terminal open en haalde het opslagmedium eruit.

De informatie samenvoegen

De derde stap was het combineren van beide bronnen. Bij het lezen en opslaan van de trackdata werden ook de datum en de tijd vastgelegd, net als bij de camerabeelden en bij de keypadlezers. Bij afgekeken pincodes verliep het samenvoegen moeizamer: dan kwam het aan op de administratie van de afkijker. Bij twijfel kreeg één kaart twee pincodes toegewezen.

De complete informatie ging daarna naar de landen waar de kaarten gebruikt zouden worden. Geskimde gegevens van Nederlandse pinpassen werden dus gemaild naar het buitenland, waarbij Italië en Spanje populair waren. Er gaan namelijk geen mensen met stapels creditcards een vliegtuig in. Saillant detail: doordat Nederland met de uitrol van EMV-betaalterminals achterliep op andere Europese landen, kwamen criminelen juist naar Nederland toe. In Europees perspectief was Nederland het land waar met geskimde debit- en creditcards betaald kon worden.

Valse kaarten produceren

In een ander land, met een slecht beveiligde betaalinfrastructuur, zetten de criminelen een productiefaciliteit op. Daarvoor zijn drie dingen nodig: een notebook, een magneetstripschrijver en blanco creditcards. Aan de notebook worden geen bijzondere eisen gesteld; nieuw kostte die ongeveer € 500, tweedehands ongeveer € 200. Een complete set om magneetstrips van creditcards te beschrijven kostte ongeveer € 300, tussen de 400 en 500 dollar. Blanco creditcards kostten tussen de € 0,50 en € 1,50 per stuk.

Het nadeel van blanco kaarten is dat ze alleen in ATM's en bij onbemande tankstations bruikbaar zijn. Een alternatief waren gestolen bankpassen of tankpassen. Die kaarten waren al lang geblokkeerd en de pincode ontbrak, maar dat gaf niet: de magneetstrip kon opnieuw worden beschreven. Zo belandde de inhoud van Britse Maestro-magneetstrips regelmatig op Nederlandse bankpasjes. Valse debit- en creditcards maken kon dus met standaard, goed verkrijgbare spullen tegen lage kosten.

De kaarten leegtrekken

Met een aantal kaarten op zak gingen handlangers op pad. Blanco kaarten werden vooral bij ATM's gebruikt; parkeergarages en onbemande tankstations leverden niet snel genoeg op. Met de bedrukte valse creditcards kon gewoon worden gewinkeld. In veel winkels hadden medewerkers niet door dat iemand met Maestro betaalde — in Nederland een buitenlandse betaalpas — in plaats van met de Nederlandse pinpas.

Betalen met een valse creditcard was lastiger. Acquirers vragen merchants om ook de legitimatie van de klant te controleren en te noteren, en om enkele aanvullende controles te doen. De meeste merchants komen niet verder dan de legitimatie.

Waar een merchant op kan letten

• Maakt de klant een zenuwachtige indruk?
• Past de naam op de kaart bij de klant, bijvoorbeeld De Vries bij iemand die geen Nederlands spreekt?
• Kloppen de aankopen, bijvoorbeeld drie notebooks en vier telefoons tegelijk?

Waarom het uitmaakt

Skimming werkt op de magneetstrip, niet op de chip. Daarom hielp de invoering van EMV: de gegevens die de fraudeur kopieert, volstaan dan niet meer om een transactie op te zetten. Dat skimming nu zeldzaam is, ligt niet aan de fraudeurs maar aan de techniek.