Скимминг и шимминг: старые методы, которые всё ещё работают на АЗС и банкоматах

[Good Carder]

От кардера — кардерам. Пока все вокруг бьются над API-кардингом и обходом 3DS, тихий переулок у банкомата продолжает приносить кэш. Скимминг — это хардкорный, аналоговый обнал, но физический доступ к платежному терминалу — это высший пилотаж, где просчет в ОПСЕК ведет не к бану аккаунта, а к реальным наручникам.

Скимминг — это кража данных с магнитной полосы карты, которая до сих пор используется в США, на АЗС и в устаревших банкоматах. По данным отчетов, объем рынка платежного скимминга оценивается в $4.49 млрд в 2026 году, демонстрируя уверенный рост (CAGR 12,5%). В Европе тоже неспокойно — количество атак скимминга выросло на 24%.

В этой статье разберем: почему магнитная полоса до сих пор жива, какое оборудование нужно для клонирования карты, самые уязвимые устройства (NCR, Diebold, АЗС), схемы обналичивания через клоны и как полиция ловит тех, кто ставит накладки.

Часть 1. Разница между скиммингом, шиммингом и NFC-реле​

Прежде чем лезть к банкомату с отвёрткой, разберись, с чем именно ты имеешь дело.

1.1. Скимминг (Magstripe Skimmer)​

Что это: накладка на картридер, которая считывает данные с магнитной полосы в момент, когда ты вставляешь карту. Данные с магнитной полосы (треки 1 и 2) содержат номер карты, дату истечения срока и иногда имя держателя — всё, что нужно для клонирования магнитной полосы на чистый белый пластик.

Где до сих пор актуально: США, Канада, АЗС, старые банкоматы, некоторые POS-терминалы в отелях и ресторанах. В Европе магнитная полоса постепенно умирает, но на туристических банкоматах и АЗС скиммеры до сих пор ловят данные.

1.2. Шимминг (Chip Shimmer)​

Что это: Важное уточнение — шиммер толщиной с кредитку вставляется прямо в щель картридера, перехватывая трафик между чипом и терминалом, пока идет аутентификация, но создать полноценный клон чипа он не может — он читает данные, достаточные для клонирования магнитной полосы.

Шимминг — злая шутка эволюции: терминалы перешли на EMV (чип), а карты еще нет. Устройство ставится внутри картридера, и его почти невозможно увидеть без специального фонарика. Найти шиммер в банкомате можно только если знать, куда смотреть.

1.3. NFC-релейные атаки (Ghost Tap, NFCGate)​

Что это: программно-аппаратный метод бесконтактной кражи через Android-смартфон. Ghost Tapped — это эксплуатация NFC на Android-устройствах для удаленного мошенничества без физического доступа к банковской карте жертвы. По данным Group-IB, зафиксировано не менее $355 000 незаконных транзакций от одного POS-вендора за период ноябрь 2024 — август 2025.

Атакующие используют модифицированные NFC-приложения (NGate, NFCGate) для перехвата и ретрансляции данных бесконтактной карты на терминал оплаты, находящийся на расстоянии. Популярно в Бразилии (с ноября 2025 года), замечено в Китае (январь 2026).

Это уже не «скиллит», а промышленный метод. Сравнение:

Тип атаки	Что ворует	Где ставится	Сложность
Скимминг	Магнитную полосу	Накладка на картридер, снаружи	Низкая
Шимминг	Данные чипа	Внутрь картридера	Высокая
NFC-реле	Бесконтактные данные	Удаленно, через софт	Средняя

Часть 2. Оборудование: от картридера за $315 до накладки за 8000 евро​

Рынок оборудования для скимминга — это отдельная индустрия. Продавцы на даркнете предлагают как простые портативные устройства для сбора данных треков, так и кастомные накладки на конкретные модели банкоматов NCR и Diebold.

2.1. Портативные скиммеры (Pocket Skimmer)​

Это самый простой способ сбора данных, почти не требующий физического контакта с банкоматом. Pocket Skimmer — это маленькое магнитное устройство, которое читает и хранит данные треков с карты при простом прогоне. Цена такого чуда — около $315 (US). Карманный скиммер может хранить данные до 2,048 платежных карт и считывать номера с телефона.

2.2. Кастомные накладки на банкоматы (Overlay Skimmer)​

Это самый дорогой и профессиональный сегмент. Накладки печатаются на 3D-принтере под конкретную модель банкомата — NCR 5886, Diebold, Hyosung. Цена кастомного комплекта достигает 8000 евро с доставкой. В комплект входят: накладка на картридер (копирующая оригинальный дизайн до мельчайших деталей), накладка на PIN-панель (с микро-камерой или мембранной клавиатурой), Bluetooth-модуль (для удаленного сбора данных без повторного посещения банкомата).

Кастомные комплекты продаются на закрытых даркнет-форумах, и их доставка оплачивается отдельно (иногда до $500 за пересылку).

2.3. Оборудование для клонирования карт​

Когда у тебя есть треки с магнитной полосы, их нужно перенести на чистый пластик. Для этого потребуется:

• MSR206 — это золотой стандарт для записи магнитной полосы. Он стоит около 2450 в готовом виде. Но можно собрать самому: для работы нужна Arduino Pro Micro (MicrochipATMega32u4), маленький OLED−дисплей, модуль питания. Итоговая цена: 30-50.
• Blank white plastic (чистый белый пластик) с магнитной полосой: 1–2 за штуку при покупке оптом. Готовые клоны с эмбоссингом (выбитым номером) —10–20 за карту (обычно продаются на даркнете с доставкой из Китая).

2.4. Сбор данных с зараженных терминалов​

Raspberry Pi, подключенный к терминалу, может перехватывать данные карт в реальном времени. Атакующие подключают Raspberry Pi к внутреннему USB-порту терминала или устанавливают вредоносное ПО в POS-систему, которое скрапит память в поисках данных карт в момент транзакции.

Часть 3. Схема обналичивания: от картридера до клона​

Весь процесс — от установки скиммера до снятия наличных — строится на нескольких этапах. Чем больше звеньев, тем выше риск засветиться, но и выше анонимность.

1. Установка. Ты едешь к банкомату, тратишь 5-10 минут на установку накладки и PIN-скиммера. Используешь перчатки, балаклаву, арендованную машину. Работаешь в паре: один ставит, второй смотрит за обстановкой. Лучшее время — раннее утро (4:00–6:00) или поздний вечер (22:00–00:00), когда поток людей минимален.

2. Сбор. Скиммер накапливает данные треков. PIN-скиммер записывает PIN-коды. Возвращаешься через 2–7 дней, снимаешь оборудование. Чтобы не спалиться, используй Bluetooth-скиммеры с удаленным сбросом данных.

3. Клонирование. В домашней мастерской или в машине перегоняешь треки на чистый белый пластик с помощью MSR206. Если есть PIN-код, карта готова к снятию в банкомате. Если нет — используй в магазинах как обычную карту, пока не сработает фрод-мониторинг.

4. Обналичивание (Drain). Ищешь банкоматы без камер или с камерами, закрытыми козырьком, снимаешь суточный лимит карты. Используй шляпу, очки — любую маскировку. На карте с лимитом 1000можноснять1000можноснять500 в одном банкомате и $500 в другом.

5. Отмыв. Полученные наличные нужно конвертировать. Либо меняешь в обменниках на безнал (потеря 10–20%), либо используешь для закупки товаров с последующей перепродажей.

Часть 4. Уязвимые устройства и география (2026)​

Скимминг — географически зависимая история. Где магнитная полоса еще жива, там есть и скиммеры.

4.1. США​

Рай для скимминга. АЗС (pay-at-the-pump), старые банкоматы банков Credit Unions, терминалы в ресторанах и отелях, небольшие розничные магазины — все это до сих пор использует магнитную полосу.

4.2. Европа​

В Европе магнитная полоса умирает, но не везде. Согласно отчетам, количество скимминговых атак на европейских банкоматах выросло на 24%. Italy, Spain, Greece, Eastern Europe — вот туристические зоны, где до сих пор охотятся за данными.

4.3. АЗС (Газовые станции)​

Самое уязвимое место в США. Наружные насосы на АЗС — легкая мишень, так как терминалы находятся на улице без наблюдения. Установка скиммера занимает 30 секунд. АЗС часто экономят на обслуживании и не обновляют терминалы годами.

4.4. Уязвимые модели банкоматов​

По данным отчетов по кибербезопасности, самые популярные среди злоумышленников модели банкоматов — NCR, Diebold и Hyosung. Для каждой из них существуют готовые 3D-модели накладок, которые можно скачать на даркнете и напечатать самому. Кастомные комплекты доходят до 8000 евро.

Часть 5. OPSEC для скиммера: как не попасться​

Скимминг — это не «нажал кнопку — получил деньги». Каждая ошибка в OPSEC — это реальный риск оказаться под следствием.

Никогда не подходи к банкомату без маскировки. Используй бейсболку, очки, балаклаву — всё, что скроет лицо от камер. Камеры на банкоматах сейчас есть везде, и твое лицо будет первым, что передадут в полицию. Работай в паре с наблюдателем. Арендуй машину, не используй свою. Идеальный вариант — угнанный автомобиль, на котором невозможно выйти на владельца.

Используй Bluetooth-скиммеры с удалённым считыванием данных. Не возвращайся к банкомату, если есть возможность забрать данные по воздуху. Подходи к банкомату только для установки и демонтажа, и не оставляй его на недели.

Используй чистые банкоматы в регионах с низким уровнем видеонаблюдения. Банкоматы в сельской местности, на заправках, в торговых центрах с плохими камерами. Не работай рядом с отделениями полиции.

Мой электроинструмент. После работы очищай оборудование от отпечатков пальцев (спирт, салфетки). Храни скиммеры, MSR206 и пластик в арендованном гараже, а не дома. Никто не захочет давать показания на обыске.

Часть 6. Защита от скимминга (для мерчантов и пользователей)​

Банки и производители банкоматов тоже не спят. В 2026 году появилась первая полноценная анти-скимминговая технология — Diebold ActivEdge. Это первый считыватель карт, предотвращающий все известные формы скимминга. ActivEdge предотвращает чтение магнитной полосы в ориентации, необходимой для скимминга, делая стандартные скиммеры бесполезными.

Банки все чаще отказываются от магнитной полосы, переводя клиентов на чиповые карты. Но старые банкоматы пока стоят, и пока они стоят, скимминг будет жить.

Резюме от кардера​

Скимминг — это не хай-тек, но он жив и будет жить, пока существуют АЗС и старые банкоматы. Магнитная полоса — это дыра в безопасности, которая кормит тысячи кардеров по всему миру.

Американские АЗС — это легкие деньги, но охрана там может оказаться неожиданно бдительной. Европейские туристические зоны — высокий риск, но и высокая проходимость. Шимминг — это игра вдолгую, результат может прийти через неделю, а может и не прийти вовсе.

Главное правило: не жадничай. Снял тысячу — уходи. Не пытайся обналичить всё в одном месте. Смени маскировку, смени машину, смени банкомат. И никогда, слышишь, никогда не подходи к банкомату без маски.

Быстрая памятка на одну строку:
«Накладка на картридер NCR — 8000€, кастомный пин-панель — 1500€, MSR206 для записи — 250, пластик — 2. Продажа треков на даркнете — окупается за неделю. Но пара наручников — бесплатно. Скимминг жив, пока жива магнитная полоса. И пока живут дураки, которые подходят к банкомату без балаклавы».