Efter massespærring: Nets ved ikke, hvordan kompromittering af danske kort teknisk er foregået

Det var analyse af betalingskort-data, der forleden fik Nets til at anbefale de danske banker præventivt at spærre over 100.000 danskudstedte betalingskort, som virksomheden mener, kan være i fare for at blive misbrugt.

Nets har dog ikke noget bud på, hvordan kortoplysningerne kan være havnet i forkerte hænder.

Sagen startede med, at Nets registrerede et konkret misbrug af flere betalingskort. Fælles for de misbrugte kort var, at de har været anvendt i en specifik udenlandsk web-butik.

Og denne fællesnævner har fået Nets til at anbefale de danske banker at spærre alle kort, der har været anvendt i butikken i den periode, misbruget er registreret, forklarer pressekonsulent hos Nets Ulrik Marschall.

»Vi har mistanke om, at de kortinformationer har været kompromitteret.«

Det vil altså sige, at kort i en periode kan være opsamlet af kriminelle, i forbindelse med, at danskere har handlet i den pågældende web-butik.

Et eventuelt misbrug af kortoplysningerne kan foregå et helt andet sted og på et helt andet tidspunkt i forhold til, hvornår og hvor oplysningerne måtte være blevet kompromitterede.

Ulrik Marschall forklarer, at Nets for en måned siden anbefalede bankerne at spærre 15.000 kort relateret til samme hjemmeside. Disse kort var anvendt i en periode, hvor Nets havde registreret misbrug af kort anvendt på siden.

»Pludseligt kunne vi se, at der opstår misbrug i nogle andre perioder, og de de er fordelt over året. Så spærrer vi alt fra starten af 2015 og frem til nu. Alle der har været derinde,« fortæller Ulrik Marschall.

Ved ikke hvordan

Det er altså via dataanalyse i forhold til den pågældende hjemmeside, at Nets har anbefalet de danske banker at spærre kortene. Og derfor har Nets heller ikke noget umiddelbart bud på, hvorvidt det eksempelvis er et database-hack, et skimming-script eller en anden teknik, der skulle have været brugt til at kompromittere de danske kortoplysninger.

»Nej, den efterforskning kan vi ikke lave. Vi kan bare se, det relaterer sig til den hjemmeside. Den kan jo i princippet være fuldstændig compliant og leve op til alle sikkerhedskrav, og så er der bare nogen, der er kommet omkring det, og har fundet en vej ind,« siger Ulrik Marschall.

Og i den forbindelse kan Nets heller ikke sige noget om, hvorvidt kompromitteringen af kort-data har stået på løbende siden 2015 eller sporadisk.

»Vi kan ikke se, om det er nogle kriminelle, der lige er inde og snuse en gang imellem, eller om de ligger der hele tiden og kan opsnuse det hele.«

Visa og Mastercard

Mens det altså er Nets' egne analyser, der har fået pilen til at pege på den udenlandske web-butik, så sender den danske virksomhed bolden videre, når spørgsmålet kommer til, hvilken udenlandsk web-butik, der faktisk er tale om.

»Det er jo Visa og Mastercard, der kører efterforskningen i forhold til den pågældende hjemmeside. Vi har hverken mandat eller kontakt til denne hjemmeside overhovedet. Så derfor giver vi vores informationer videre til Visa og Mastercard, som er dem, der giver hjemmeside tilladelse til, at de må bruge Visa eller Mastercard på siden,« siger Ulrik Marschall.

Version2 har rettet henvendelse til Visa og Mastercard. Blandt andet for at høre, hvor stort de to selskaber mener, kompromitteringen af betalingskort kan være samlet set, når også ikke-danske kort regnes med. Vi har også spurgt selskaberne til, hvordan kompromitteringen kan være foregået.

Vores henvendelser har foreløbigt resulteret i følgende svar fra Visa, sendt via virksomhedens danske pressekontakt.

»Visa is aware of the reported incident. When such incidents occur, Visa works with the breached entity and their financial institution to provide card issuers with the compromised accounts so they can take steps to protect consumers,« står der i det skriftlige svar fra Visa, som fortsætter:

»Visa encourages consumers to regularly monitor their accounts, carefully review statements and notify their issuing bank promptly of any unusual activity. If they are one of the few innocent victims of card fraud they should get their money back, subject to the terms and conditions of their banks.«