Shimming

Wat is shimming?

Shimming is de opvolger van skimmen. Bij skimmen kopiëren criminelen de magneetstrip van een betaalpas. Bij shimming richten ze zich op de chip. De naam komt van het Engelse woord shim: een dun opvulplaatje. De shim is een flexibel inzetstuk ter grootte van een betaalpas, zo dun dat het in de kaartsleuf past zonder dat de automaat ophoudt te werken.

Omdat de shim binnen in de kaartlezer zit, is er aan de buitenkant van de automaat niets te zien. Dat maakt shimming lastiger te herkennen dan skimmen, waarbij vaak een opzetstuk voor de kaartinvoer zit.

Europol noemt shimming in 2023 een relay-aanval op de chip van betaalpassen. Een relay-aanval is een aanval waarbij criminelen de communicatie tussen 2 apparaten onderscheppen of doorsturen. Volgens Europol worden zulke aanvallen “increasingly detected” (bron: Europol, IOCTA spotlight report, 2023). De Europese brancheorganisatie EAST, die fraude met betaalterminals bijhoudt, behandelt card shimming sinds 2018 als aparte categorie aanvalsapparatuur, los van skimmers (bron: EAST, 2018).

Shimming is iets anders dan cardtrapping. Bij cardtrapping blijft je pas in de automaat achter. Bij shimming krijg je je pas gewoon terug.

Hoe werkt shimming?

Een shimming-aanval verloopt meestal in 4 stappen:

1. Schuiven: de crimineel schuift de shim met een dun hulpstuk in de kaartsleuf, tot tussen de chip en de chiplezer van de automaat.
2. Onderscheppen: bij elke pas die wordt ingestoken, vangt de shim de gegevens op die tussen chip en automaat worden uitgewisseld.
3. Afkijken: een verborgen camera of meekijker legt de pincode vast, net als bij skimmen.
4. Ophalen: na een tijd haalt de crimineel de shim weer weg en leest de opgeslagen gegevens uit.

De chip is wel beter beveiligd dan de magneetstrip. Volgens de Betaalvereniging Nederland staan alle kaartgegevens “veilig versleuteld op die chip en kunnen niet door onbevoegden worden uitgelezen of gekopieerd”. Sinds 2012 wordt in Europa alleen nog met de chip betaald. Die encryptie maakt het maken van een werkende chipkopie lastig. Criminelen proberen de buitgemaakte gegevens daarom vooral te gebruiken op plekken waar de beveiliging zwakker is. Geoblocking, het blokkeren van de magneetstrip buiten Europa, beperkt dat verder.

Hoe herken en voorkom je shimming?

Je kunt een shim van buitenaf bijna niet zien. Het advies is daarom vooral: bescherm je pincode en reageer snel.

1. Dek je pincode altijd af met je hand. Zonder pincode heeft een crimineel weinig aan de gegevens van de chip.
2. Let op een kaartsleuf die krap aanvoelt of waarin je pas moeilijk naar binnen gaat.
3. Gebruik bij voorkeur een automaat binnen in een bankfiliaal of winkel.
4. Laat geoblocking aan staan en zet het alleen tijdelijk uit als je buiten Europa moet pinnen.
5. Bel direct je bank en laat je pas blokkeren als je transacties ziet die je niet herkent. De nummers per bank staan op veiligbankieren.nl.
6. Bel de politie als je verdachte apparatuur aan of in een automaat ziet.

Voorbeeld uit de praktijk

Een openbaar beschreven Nederlandse shimmingzaak is voor deze pagina niet gevonden. Wel bevestigt Europol dat shimming in de EU voorkomt: in het IOCTA spotlight report van december 2023 staat dat relay-aanvallen op betaalpaschips steeds vaker worden gedetecteerd.

Een goed beschreven zaak komt van buiten Europa. Op 30 augustus 2024 veroordeelde een rechtbank in Australië 2 personen die shimmers in geldautomaten in Sydney en Melbourne hadden geplaatst. Volgens de Australian Federal Police legden de shimmers gegevens van de magneetstrip en de chip vast, die de daders later uitlazen. De buit bedroeg 36.000 Australische dollar (bron: Australian Federal Police, 2024).

Shimming in de praktijk van een security-professional

Shimming is een cyberaanval met een fysieke kant. Fraudeanalisten bij banken zien shimming terug in transactiepatronen: verschillende passen die kort na elkaar dezelfde automaat gebruikten en daarna op een andere plek worden misbruikt. Zo kunnen ze de besmette automaat terugvinden.

Een security officer bij een organisatie met geldautomaten of betaalterminals zorgt voor regelmatige controles van de kaartlezers en voor meldprocedures als medewerkers iets verdachts vinden. Wie buitgemaakte betaalgegevens misbruikt, pleegt vaak ook identiteitsfraude. Meer over het vakgebied lees je bij cybersecurity.

Veelgestelde vragen

Wat is shimming in het Nederlands?

Er is geen gangbaar Nederlands woord voor shimming. Het Engelse woord shim betekent opvulplaatje. Bij shimming schuiven criminelen zo’n dun plaatje in de kaartlezer van een automaat om de gegevens van de chip op je betaalpas te onderscheppen.

Hoe kun je shimming voorkomen?

Dek je pincode altijd af, want zonder pincode is gestolen chipinformatie weinig waard. Gebruik bij voorkeur automaten binnen in een bank of winkel en laat geoblocking aan staan. Zie je afschrijvingen die je niet herkent, bel dan direct je bank en laat je pas blokkeren.

Hoe werkt skimmen?

Bij skimmen plaatsen criminelen een kopieerapparaatje op de kaartinvoer van een automaat dat de magneetstrip van je pas uitleest. Een camera of nep-toetsenbord legt de pincode vast. Shimming werkt op dezelfde manier, maar dan met een dun inzetstuk binnen in de kaartlezer dat zich op de chip richt.

Wat is skimmen van een bankpas?

Skimmen van een bankpas is het ongemerkt kopiëren van de magneetstrip terwijl criminelen je pincode afkijken. Met die gegevens maken ze een namaakpas. Door de chip en geoblocking komt skimmen in Nederland bijna niet meer voor. Shimming is de variant die zich op de chip richt.