Shimming – ewolucja kradzieży danych: Jak działa „niewidzialny” złodziej w Twoim bankomacie i jak się bronić?

Wyobraź sobie, że wypłacasz gotówkę z bankomatu. Szarpiesz za czytnik kart – wszystko wydaje się stabilne. Nie ma żadnej nakładki, kleju ani wystających kabli. Wkładasz kartę, wpisujesz PIN i odchodzisz. Tydzień później Twoje konto jest puste. Witaj w erze shimmingu – zagrożenia, którego nie widać gołym okiem, a które w latach 2024-2025 stało się koszmarem dla banków i klientów w Europie.

Czym dokładnie jest shimming i jak ewoluował ze skimmingu?

Shimming to zaawansowana metoda kradzieży danych z kart płatniczych (Card-Present Fraud), polegająca na umieszczeniu wewnątrz slotu czytnika ultracienkiego układu scalonego (shimmer), który przechwytuje komunikację między czipem EMV a terminalem płatniczym lub bankomatem.

Tradycyjny skimming odchodzi do lamusa. Przestępcy wiedzą, że nauczyliśmy się szukać podejrzanych, plastikowych nakładek na bankomatach. Dlatego zeszli do podziemia – dosłownie wchodząc w głąb maszyny. Shimming to ewolucja wymuszona przez technologię. Wprowadzenie standardu EMV (Europay, Mastercard, Visa) miało wyeliminować kopiowanie pasków magnetycznych. Odpowiedzią złodziei jest „Man-in-the-Middle” – atak, w którym szpieg siedzi cicho między Twoją kartą a bankiem.

Jak wygląda i działa urządzenie typu shimmer? (Analiza techniczna)

Urządzenie typu shimmer to elastyczna płytka drukowana (flex-PCB) o grubości mniejszej niż 0,1 mm, wyposażona w mikrokontroler i pamięć flash, którą wsuwa się głęboko do czytnika kart (Deep Insert Skimmer), czyniąc ją niewidoczną dla użytkownika.

Technologia stojąca za shimmingiem jest imponująca i przerażająca zarazem. Shimmer nie potrzebuje własnego zasilania w stanie spoczynku – często „kradnie” prąd z terminala w momencie, gdy ten zasila czip Twojej karty.

Anatomia Shimmera:

• Nośnik: Poliamidowy laminat, wytrzymały i elastyczny.
• Sercem układu: Mikrokontroler (np. z rodziny ATtiny lub dedykowane układy ASIC), który zarządza logiką przechwytywania komend APDU (Application Protocol Data Unit).
• Komunikacja: Nowoczesne shimmery posiadają moduły radiowe lub Bluetooth Low Energy (BLE), co pozwala przestępcom pobierać skradzione dane, stojąc kilka metrów od bankomatu, bez konieczności wyjmowania urządzenia.

Czy Twoja karta z czipem jest naprawdę bezpieczna? (Mechanizm ataku)

Mimo że karty chipowe są bezpieczniejsze niż magnetyczne, atak shimmingowy pozwala na skopiowanie kodu iCVV (Dynamic CVV) i stworzenie duplikatu karty, który zadziała w terminalach akceptujących transakcje w trybie Magstripe Fallback lub w krajach o niższych standardach bezpieczeństwa.

Tu dochodzimy do sedna problemu. Wiele osób wierzy w mit: „Mam czip, więc nikt mnie nie skopiuje”. To prawda, że kluczy kryptograficznych czipa nie da się łatwo wyciągnąć. Ale shimming nie atakuje kryptografii – atakuje luki w systemie bankowym.

Jak przestępcy zamieniają czip na pasek?

1. Przechwycenie: Shimmer nagrywa wymianę danych między kartą a terminalem. Pobiera numer karty, datę ważności i – co kluczowe – kod iCVV.
2. Klonowanie: Złodzieje zapisują te dane na pasku magnetycznym czystej karty.
3. Atak „Downgrade”: Przestępca idzie do sklepu z tak spreparowaną kartą. Celowo uszkadza na niej czip. Terminal próbuje odczytać czip, nie udaje mu się i prosi o „użycie paska magnetycznego” (to tzw. Fallback).
4. Kradzież: Jeśli system bankowy nie sprawdzi poprawności kodu iCVV dla transakcji paskowej (a wciąż zdarzają się takie luki konfiguracyjne), transakcja przejdzie.

Analiza przypadku: Ataki w Polsce

W październiku 2025 roku Santander Bank Polska stał się celem zmasowanego ataku, w którym klienci z Bydgoszczy i Wielkopolski stracili środki w wyniku działania grupy przestępczej wykorzystującej zaawansowane techniki skimmingu i prawdopodobnie shimmingu na bankomatach zewnętrznych operatorów.

Studium Przypadku: Polska, Październik 2025 W weekend 25-26 października 2025 r., setki klientów Santandera zgłosiły nieautoryzowane wypłaty. Przestępcy działali błyskawicznie. Choć wstępne raporty policyjne mówiły o „skimmingu”, charakter ataku (brak widocznych nakładek, masowość w konkretnych regionach) sugeruje użycie technologii „Deep Insert”, która jest trudna do wykrycia przez standardowe czujniki anty-skimmingowe. Bank zareagował blokadami i zwrotami środków, ale incydent pokazał, że fizyczne ataki na infrastrukturę wciąż są groźne.

Co zrobić, aby nie stracić pieniędzy? (Poradnik dla konsumenta)

Najskuteczniejszą obroną przed shimmingiem jest rezygnacja z fizycznego użycia karty na rzecz płatności mobilnych (Apple Pay, Google Pay) oraz kodów BLIK, które wykorzystują tokenizację i nie udostępniają terminalowi prawdziwych danych karty.

Twoja plastikowa karta to klucz do Twojego skarbca. Nie wkładaj go do zamka, któremu nie ufasz.

Strategia obronna 2026:

1. Tap to Pay: Zbliżaj. Płatność zbliżeniowa jest bezpieczna przed shimmingiem, ponieważ czip nie wchodzi w fizyczny kontakt z pasożytem w środku.
2. BLIK to Twój przyjaciel: W Polsce mamy luksus posiadania BLIK-a. Wypłacając z bankomatu, używaj kodu. Nie ma karty = nie ma co skopiować.
3. Limity w aplikacji: Ustaw limit wypłat gotówkowych na poziomie np. 200-300 zł. W razie ataku, złodziej nie wyczyści konta do zera.
4. Zasłaniaj PIN: Nawet jeśli ukradną dane z paska/czipa, bez PIN-u często nie wypłacą gotówki. Shimmingowi często towarzyszy mikrokamera ukierunkowana na klawiaturę.

Podsumowanie

Shimming to technologiczny wyścig zbrojeń. W latach 2024-2025 widzieliśmy, jak przestępcy adaptują się do zabezpieczeń czipowych, wykorzystując miniaturyzację i luki w starych systemach. Dla przeciętnego użytkownika wniosek jest jeden: fizyczna karta plastikowa staje się najsłabszym ogniwem. Przyszłość bezpiecznych płatności leży w tokenizacji (telefon/zegarek) i biometrii, gdzie dane są dynamiczne i bezużyteczne dla złodzieja po przechwyceniu.

Słownik kluczowych terminów

• APDU (Application Protocol Data Unit): Jednostka danych protokołu aplikacji; w kontekście shimmingu odnosi się do komend wymienianych między czipem EMV a terminalem, które są przechwytywane przez mikrokontroler.
• BLIK: Polski system płatności mobilnych, który pozwala na dokonywanie transakcji (w tym wypłat z bankomatów) za pomocą jednorazowych kodów. Jest to metoda odporna na shimming, ponieważ nie wymaga użycia fizycznej karty.
• Card-Present Fraud: Oszustwo z fizycznym użyciem karty; kategoria przestępstw, do której zalicza się shimming, gdzie dane są kradzione w momencie, gdy karta jest fizycznie obecna w terminalu lub bankomacie.
• Deep Insert Skimmer: Inna nazwa urządzenia typu shimmer, podkreślająca, że jest ono wsuwane głęboko do wnętrza czytnika kart, w przeciwieństwie do zewnętrznych nakładek skimmingowych.
• EMV: Globalny standard dla kart płatniczych z czipem, stworzony przez Europay, Mastercard i Visa. Jego celem było zwiększenie bezpieczeństwa i wyeliminowanie oszustw związanych z klonowaniem paska magnetycznego.
• Flex-PCB (Flexible Printed Circuit Board): Elastyczna płytka drukowana; technologia używana do budowy shimmerów, pozwalająca na stworzenie ultracienkiego i giętkiego urządzenia, które można wsunąć do czytnika.
• iCVV (Dynamic CVV): Dynamiczny kod bezpieczeństwa generowany przez czip EMV dla każdej transakcji. Jego przechwycenie przez shimmer jest kluczowe, ponieważ pozwala przestępcom na autoryzację transakcji w trybie awaryjnym na sklonowanej karcie magnetycznej.
• Magstripe Fallback: Tryb awaryjny w terminalach płatniczych, który pozwala na przeprowadzenie transakcji za pomocą paska magnetycznego, gdy odczyt czipa EMV z jakiegoś powodu się nie powiedzie. Jest to luka systemowa wykorzystywana w atakach shimmingowych.
• NFC (Near Field Communication): Komunikacja bliskiego zasięgu; technologia umożliwiająca płatności zbliżeniowe (Tap to Pay). Chroni przed shimmingiem, ponieważ nie dochodzi do fizycznego kontaktu między kartą a wewnętrznymi elementami czytnika.
• Shimmer: Ultracienkie urządzenie (elastyczna płytka drukowana z mikrokontrolerem) wsuwane do wnętrza czytnika kart w celu przechwycenia danych z czipa EMV.
• Shimming: Zaawansowana metoda kradzieży danych z kart płatniczych polegająca na umieszczeniu w czytniku niewidocznego urządzenia (shimmera), które działa jako „Man-in-the-Middle” między kartą a terminalem.
• Skimming: Starsza metoda kradzieży danych polegająca na montowaniu na zewnątrz bankomatu lub terminala fałszywej nakładki, która kopiuje dane z paska magnetycznego karty.
• Tokenizacja: Proces zastępowania wrażliwych danych karty (np. jej numeru) unikalnym, losowym ciągiem znaków zwanym tokenem. Jest to podstawa bezpieczeństwa płatności mobilnych (Apple Pay, Google Pay).

Zastrzeżenie: Niniejszy artykuł ma charakter wyłącznie edukacyjny i informacyjny. Autor nie ponosi odpowiedzialności za ewentualne straty finansowe wynikające z zastosowania się do porad w nim zawartych. W sprawach bezpieczeństwa finansowego zawsze konsultuj się bezpośrednio ze swoim bankiem.