Hollandsk rejsekort-hacker: Så let, at danskerne vil snyde i stor stil

Illustration: Virrage Images/Bigstock
Køb en kortlæser og download lidt software. Så let er det at hacke det hollandske rejsekort, har en journalist vist. Det danske rejsekort, der er baseret på samme teknologi, vil blive udsat for snyd i stor stil, mener han.

Den hollandske rejsekort, OV-chipkaart, er igen blevet hacket. Kortet baserer sig på samme teknologi som det danske rejsekort.

Tidligere i år viste en hollandsk journalist ved navn Brenno de Winter, at mennesker med en grundlæggende viden om it nemt kan hacke det hollandske rejsekort med standardværktøjer, der er til rådighed på internettet.

Læs også: Hollandsk rejsekort-hacker forsøgte forgæves at blive opdaget

»Systemet er så let at hacke, at folk vil snyde i stor stil. Jeg viste på tv, at en 80-årig bedstefar kunne gøre det. Så alle, der kan købe en 30 euros kortlæser og downloade noget software fra internettet, kan gøre dette,« siger han til Version2.

Han rejste flere uger på et kort, som han havde hacket via software frit tilgængeligt på nettet samt en kortlæser.

»Med softwaren kan man nemt ændre de backup-oplysninger, som ligger på kortet, for eksempel beløbet på kortet, eller hvor man sidst har tjekket ind henne, således at togkonduktøren ikke vil bemærke hacket, når han tjekker dit kort,« siger han til Version2.

Lang fængselsstraf afholder folk fra at snyde

Politikerne og firmaet, der monitorerer systemet, Trans Link Systems, lod sig dog ikke mærke af hacking-demonstrationen. Argumentet for ikke at stramme sikkerheden i systemet er, at straffen for snyd med transportkortene er op til seks års fængsel i Holland, hvilket vil afholde folk fra at snyde, mener politikerne. Yderligere vil snyd med kortene resultere i blokering efter højst 24 timer ifølge selskabet, hvilket vil begrænse det økonomiske tab.

Men Brenno de Winter finder argumenterne fuldstændig ude i hampen.

»Det vigtigste formål med kortene var at reducere antallet af ulovlige rejser, men systemet er så dårligt, at folk stadig vil rejse illegalt. Når folk er i stand til at stjæle penge, vil de gøre det, og jeg kan ikke se, hvorfor det ikke skulle ske i dette tilfælde,« siger han til Version2.

Derfor er den hollandske journalist og autodidakte hacker ikke et sekund i tvivl om, at det samme vil ske i Danmark.

»Det samme vil ske i Danmark, for det er det samme firma, der har bygget systemet i Holland, som nu bygger det i Danmark.«

Han modbeviste faktisk også påstanden om, at snyd hurtigt ville blive opdaget. Flere videnskabelige undersøgelser har da også advaret om risikoen for at bruge dette kort som betalingssystem.

Også det danske rejsekort har været været udsat for vellykkede hacking-forsøg. I januar 2010 lykkedes det datalogistuderende Christian Panton at bryde rejsekorts forsvarsværker så meget ned, at han med en transportabel RFID-læser/skriver ville kunne slette alle rejsekort i en bus.

Læs også: DIKU-studerende: Så let er Rejsekortet at hacke

Brenno de Winter risikerer nu at blive retsforfulgt for bedrageri.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (18)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#2 Lars Sommer

Jeg har i sin tid købt en kortlæser/-skriver samt to blanke kort, for at undersøge emnet lidt. Jeg har dog ikke tid til at bruge det. Så hvis DU vil grave lidt i mulighederne, må du gerne låne udstyret. Jeg må dog kraftigt opfordre til at du kun undersøger af nysgerrighed, publicerer alle sårbarheder, og ikke forsøger at rejse gratis.

  • 7
  • 0
#4 Lars Sommer

Jeg bor også selv i Hovedstadsområdet. - Eller i udkanten af Storkøbenhavn.. Rejsekortet er faktisk aktivt i en del af strækningen mellem Roskilde og KBH, samt et par buslinjer i byen.

Jeg bør nok lige skrive et par forudsætninger vedr. teknikken: Det kræver at du kan arbejde med RS232 (en adaptor til USB evt..), og at du selv kan finde og bruge softwaren til det. Jeg har kun den generelle læser/skriver (uden RS232-kabel) og to tomme kort. Delene er købt på RS-components, og kostede vel 4-500kr. Jeg udlåner dem frit, imod at jeg løbende hører hvis der opdages noget spændende.

Du kan nå mig på kontakt@lasg.dk (jeg troede man kunne sende beskeder til hinanden herinde)

  • 5
  • 0
#5 Deleted User

Hvad er det for et argument: "Det er så nemt at en 80-årrig kan gøre det"?

Ja, en 80-årig kan også stjæle i en butik, men derfor behøver man jo ikke gøre det.

Hvad menes der lige med "i stor stil". Det lyder for som om det nærmest vil være regler end undtagelsen. Mig bekendt kan de fleste godt finde ud af at betale for det de køber. Mon ikke også det gælder togbilletter?

Men derfor skal sikkerheden selvfølgelig være så høj som mulig.

  • 2
  • 0
#6 Thomas Jensen

Mig bekendt kan de fleste godt finde ud af at betale for det de køber. Mon ikke også det gælder togbilletter?

Brenno de Winter citeres for at sige "Det vigtigste formål med kortene var at reducere antallet af ulovlige rejser", så problemet har åbenbart været stort nok til at man vil bruge penge på et nyt system.

  • 3
  • 0
#7 Klaus Elmquist Nielsen

Hvad menes der lige med "i stor stil". Det lyder for som om det nærmest vil være regler end undtagelsen. Mig bekendt kan de fleste godt finde ud af at betale for det de køber. Mon ikke også det gælder togbilletter?

Der er to relaterede problemer her. Dels er det rent faktisk muligt at snyde og det er let at gøre det. Dels er det muligt at sabotere andre personers rejsekort trådløst uden at de opdager det før det er for sent.

Personligt har jeg ingen problemer med at lade være med at snyde for jeg betaler med glæde mine billetter (var der dog bare fradrag for ubehøvlet service). Men der er også den mulighed at ens kort kan saboteres af andre hvorved man får et alvorligt problem hvor uskyldige straffes for ting de ikke har gjort. Det er faktisk der hvor de største problemer er!

  • 2
  • 0
#8 Klaus Elmquist Nielsen

Du kan nå mig på [...] (jeg troede man kunne sende beskeder til hinanden herinde)

God fornøjelse nu hvor I har outet jeres navn, intensioner og kontaktinformationer.

Jeg er ikke det mindste i tvivl om at der bliver slået hårdt ned på den slags for det er meget lettere at udføre grovkornet behandling af enkeltpersoner end at løse de fundamentale problemer i et meget stort IT system!

På præcist samme måde som at det er billigere at lade kommunikationsafdelingen spinne løs end at lade udviklingsafdelingen løse problemerne ordenligt.

Så tja, god fornøjelse! :o)

  • 2
  • 5
#9 Andreas Bjørn Hassing Nielsen

Jeg har skrevet til Rejsekortets pressechef og spurgt om lov for et par timer siden :)

Jeg har ingen intentioner om at udføre eksperimentet uden en skriftlig tilladelse.

Desuden synes jeg selv at det giver dem mindre grund til at gå efter mig når nu jeg åbenlyst stiller spørgsmål ved sikkerheden og tilbyder en gratis test af deres system, med mit rigtige navn. Det er der vist ingen onde intentioner i.

  • 4
  • 0
#10 Klaus Elmquist Nielsen
  • 6
  • 1
#11 Lars Sommer

Klaus: Det har aldrig været intensionen at gøre dem ondt, misbruge eller udnytte systemet. Det handler om at højne sikkerheden, forhåbentlig til glæde for alle. Jeg har mailet lidt med Andreas her, og er helt med på at eventuelle forsøg sker efter aftale med Rejsekort.

  • 4
  • 0
#13 Klaus Elmquist Nielsen

Re: Vil DU låne udstyret? ny

Klaus: Det har aldrig været intensionen at gøre dem ondt, misbruge eller udnytte systemet. Det handler om at højne sikkerheden, forhåbentlig til glæde for alle. Jeg har mailet lidt med Andreas her, og er helt med på at eventuelle forsøg sker efter aftale med Rejsekort.

Lars: Jeg tvivler ikke det mindste på jeres gode intensioner som er yderst velmodtagne herfra. Blot er min tiltro til berørte organisationers gode intensioner meget små, når det kommer til sager som denne, der kan berøre deres renome eller koste penge til fejlopretning, endsige blotlægge helt fundamentale problemer med design og sikkerhed.

Sagt med andre ord: Det handler ikke om jer men om dem! :-)

  • 3
  • 0
#14 Klaus Elmquist Nielsen

De har, desværre, netop frabedt mig at teste sikkerheden, så det var det.

Naturligvis, for de vil nødig have sandheden for langt ud! ;-)

Jeg tror nu også at undersøgelser som denne bedst udføres af journalister der til en vis grænse har en bedre retslig beskyttelse når det kommer til at afdække problemer af samfundsmæsig betydning end vi andre har.

Men derfor kan man jo godt tænke ideen videre. Hvordan får man bedst budskabet ud til den brede befolkning og lagt pres på beslutningstagerne? Hvad med et TV underholdningsprogram i bedste sendetid med titlen "Rejsekorthacking for begyndere" tilsat stor teknisk kreativitet og rigelige mængder dåselatter!?

Jeg vil dog sige til dem af jer der frygter misbrug af jeres kort, at man kan få fat i signal-afbrydende kortholdere. Der er sikkert nogen herinde ved v2, der ved hvor man kan få en sådan kortholder :)

Jeg mindes dette meget gode grin: http://www.version2.dk/artikel/rfid-trick-paa-hackerkonference-gav-polit...

  • 2
  • 0
#15 Lars Sommer

Jeg vil dog sige til dem af jer der frygter misbrug af jeres kort, at man kan få fat i signal-afbrydende kortholdere. Der er sikkert nogen herinde ved v2, der ved hvor man kan få en sådan kortholder :)

Jeg vil gætte på at et metalfolieforet hylster virker til formålet. Ligesom vi allerede har til BroBizz og pas ,-) (Ja, det er faktisk tæt på sqlvpapirhatten)

En lidt anden teknisk vinkel jeg lige kom på; Hvor meget eller lidt kan man med den NFC-komponent der bl.a. sidder i Samsung Galaxy og tilsvarende nyere mobiler?

  • 2
  • 0
#17 Allan S. K. Frederiksen

De har, desværre, netop frabedt mig at teste sikkerheden, så det var det.

Du giver for let op!

Send forespørgsel til politiet og til Jutstitsminnisteriet om det er ulovligt at du tester udstyret.

Så længe du løser lovlig billet til alle dine rejser, tvivler jeg på de kan gøre noget. Især ikke hvis du overfor både de relevante ministerier åbent har erklæret dit forsøg. Som sikkerhed kan du også lave aftale med en avis, f.eks. Ing.dk, Weekendavisen, Information, BT eller EB så de står indefor at du opererer som freelance journalist for dem.

At være "journalist" giver ingen juridisk beskyttelse, men sikrer masser af omtale og støtte, hvis du skulle blive sigtet for nogen. Aftale med nyhedsmedier, bør fra din side bære krav om betaling af bøder og afgifter.

En overskrift på spisesedlen fra EB eller BT som siger "Nemt at snyde med Rejsekortet" vil nok vække opmærksomhed de rette steder.

  • 6
  • 0
#18 Lars Lundin

en sølvpapirshat i lommen til dit RFID rejsekort eller en pung med faradaybur :D

Her er et færdiglavet semi-billigt eksempel på en RFID blokerende kortholder:

I en periode opbevarede jeg mit (RFID-)rejsepas i et omslag af almindeligt sølvpapir. Det gav imidlertid negativ opmærksomhed i et par lufthavnes sikkerhedskontrol, så nu ligger passet i et til formålet indkøbt omslag.

  • 0
  • 0
Log ind eller Opret konto for at kommentere