Skimming 側錄攻擊深度解析：隱藏式裝置如何竊取你的磁條卡與 RFID 金融資料

每次刷卡或感應付款，你的卡片資料可能正悄悄地被複製。Skimming（側錄攻擊）是一種實體層面的資料竊取手法，攻擊者無需侵入網路，只需一個隱藏裝置，即可靜默截取你的金融資訊。

什麼是 Skimming？攻擊原理解析

Skimming 攻擊分為兩大類型。磁條側錄是將偽裝成正常讀卡機的薄型裝置，覆蓋於 ATM 或 POS 機卡槽上，當磁條滑過時即完整複製 Track 1 / Track 2 資料，內含卡號、姓名與服務碼。攻擊者同時搭配微型針孔攝影機記錄 PIN 輸入動作，兩者結合即可偽造實體卡片。RFID/NFC 側錄則針對感應式卡片，攻擊者以隱藏式 13.56 MHz 讀取器，在數公分距離內被動截取卡片廣播的 PAN（主帳號）與交易資訊，受害者毫無察覺。

攻擊裝置剖析與常見部署場景

現代 Skimmer 裝置已高度微型化，常見元件包含 MSR（磁條讀取模組）、藍牙/GSM 無線傳輸晶片，以及鋰電池，整體厚度不超過 3 mm。攻擊者將其貼附於 ATM 前蓋板，外觀與原機幾乎一致。高風險部署場景涵蓋：無人看管的獨立 ATM、加油站自助付款終端（EMV 升級較慢的老舊設備），以及擁擠地點的 POS 刷卡機。Shimmer 是進化型變種，薄如紙片可插入晶片卡槽內部，直接攔截 EMV 晶片通訊過程中的明文資料，是針對晶片卡的新型威脅。

💡 防禦重點整理

• 使用 ATM 前，用手輕拉卡槽邊緣，偽造裝置通常鬆動可移除。
• 輸入 PIN 時，以手遮蓋鍵盤，防止針孔攝影機錄製。
• 使用具備 動態 CVV（dCVV） 或 Tokenization 的虛擬卡號降低 RFID 洩漏風險。
• 優先選擇 EMV 晶片＋PIN 交易，避免純磁條刷卡模式。

Skimming 的威脅核心在於它完全發生在實體世界，任何軟體防火牆都無法阻擋。提高實體安全意識、採用現代化支付技術，才是根本防護之道。

📚 參考文獻

1. PCI Security Standards Council — Skimming Prevention: Best Practices for Merchants（pcisecuritystandards.org）
2. Krebs on Security — All About Skimmers 系列深度報導（krebsonsecurity.com）
3. EMVCo — EMV Chip Technology Overview（emvco.com）

⚠️ 本文內容基於撰寫時的最新資訊，實際應用時請參考官方文件的最新版本。