Britische Forscher der University of Cambridge haben einen Weg beschrieben ("Chip and PIN is Broken", PDF), mit der sich das EMV-Verfahren bei EC- und Kreditkarten aushebeln lässt, sodass Karten scheinbar beliebige PINs akzeptieren. Damit steht der Bankenbranche nach dem EC-Karten-Debakel Anfang des Jahres weiterer Ärger ins Haus – und es entstehen berechtigte Zweifel an den Sicherheit des gesamten Systems. Die neuen Erkenntnisse könnten viele Betrugsfälle erklären, in denen gestohlene Karten für Einkäufe in Geschäften benutzt wurden, obwohl das EMV-Terminal die Eingabe einer PIN erfordert. Viele Opfer behaupten Stein und Bein, die PIN nirgendwo notiert und nicht weitergegeben zu haben. Es soll sogar Fälle gegeben haben, bei denen die Mitteilung über die PIN noch verschlossen im Schrank lag – das Opfer die PIN also selbst gar nicht kannte.

Das EMV-Verfahren (benannt nach Eurocard, Mastercard und Visa) soll die Karten vor dem illegalen Kopieren etwa mittels Skimming schützen und den bisher üblichen Magnetstreifen ersetzen. Das EMV-Verfahren bedient sich kryptografischer Methoden, mit der ein Kartenterminal die Echtheit einer Karte verifizieren und mit ihr kommunizieren kann. Allerdings gibt es offensichtlich einige Schwachpunkte sowohl in der Spezifikation als auch in der Implementierung, was die Authentifizierung bestimmter, zwischen Karte und Terminal ausgetauschter Nachrichten angeht.

Dem Bericht zufolge ist es möglich, durch eine Man-in-the-Middle-Attacke dem Terminal vorzugaukeln, die Karte hätte eine eingebene PIN akzeptiert, während man der Karten vortäuscht, das Terminal hätte auf die Legitimation mit Unterschrift zurückgeschaltet. Im Folgenden wird der Bezahlvorgang dann aber normal autorisiert und das Terminal druckt einen Beleg aus, auf dem "Verified with PIN" steht.