Как измамници крадат гориво със скимирани RFID карти за автопаркове

Кражбата на гориво преди изглеждаше проста. Някой източваше дизел от паркиран камион, пълнеше няколко туби или използваше фирмена карта след работно време. Днес проблемът може да изглежда много по-незабележим отвън, но да причинява същите загуби. Мениджърът на автопарк може да вижда в месечния отчет напълно нормални транзакции за гориво: една карта, една бензиностанция, един номер на превозно средство, една одобрена покупка. Нищо не изглежда драматично, докато числата не започнат да губят логика. Камион, който трябва да изразходва 300 литра седмично, изведнъж се нуждае от 520. Ван, който е останал в базата, според отчета зарежда гориво в другия край на града. Карта, издадена на нощен шофьор, се използва два пъти за двадесет минути на две различни колонки.

Затова скимираните RFID карти за автопаркове се превръщат в сериозен риск за логистични компании, строителни автопаркове, автобусни оператори, компании за отдаване под наем и екипи за сервизно обслужване на терен. Картата все още се доближава до четеца. Колонката все още разрешава зареждането. Фактурата все още изглежда официална. Но горивото може да отива в личен автомобил, в скрит резервоар или в схема за препродажба, която няма нищо общо с маршрута на компанията.

Тази статия не е ръководство за копиране на карти. Тя разглежда практично как слабите системи за карти за автопаркове могат да бъдат злоупотребявани и как купувачите могат да изградят по-добра защита. Ако избирате RFID карти за автопаркове, безконтактни карти за гориво, NFC карти за гориво или защитени RFID карти за управление на горивото в автопарк, истинският въпрос не е само дали картата може да активира колонката. Истинският въпрос е дали системата може да докаже, че правилният водач, правилното превозно средство, правилната станция и правилното зареждане наистина принадлежат към една и съща операция.

Защо RFID картите за автопаркове са привлекателна цел

Картите за гориво в автопаркове са ценни, защото превръщат доверието в достъп до гориво. Компанията издава карта на превозно средство или водач, за да ускори ежедневната работа. Картата може да се приема на фирмени резервоари, партньорски бензиностанции, обекти за зареждане на строителни площадки или обществени cardlock мрежи. При добре организиран процес RFID картата идентифицира акаунта, а системата на колонката записва транзакцията. При слаб процес картата се превръща в преносим платежен инструмент с твърде малко контекст.

Регионална транспортна компания в Далас забелязва нарастващи разходи за гориво по три дълги маршрута. Шофьорите твърдят, че нищо не се е променило. Поддръжката не открива течове. Разстоянията по маршрутите остават стабилни. Следата идва от времето на транзакциите. Някои покупки са направени, когато според телематичните данни назначените камиони все още са били в склада. Компанията не публикува техническите подробности вътрешно, но проверката показва, че идентификационните данни на картите са били използвани далеч от реалните превозни средства. След това компанията преминава от просто одобрение с карта към карта плюс проверка на превозното средство, контрол на километража и аларми за изключения.

Именно този модел трябва да интересува мениджърите на автопаркове. Скимирана или неправомерно използвана карта може да не изглежда като инцидент със сигурността. Тя се скрива в обичайното потребление на гориво, докато някой не сравни данните от картата с данните от превозното средство.

Слабото звено често не е само RFID чипът

Хората често обвиняват картата, но измамите с карти за гориво обикновено възникват от цяла верига слаби контроли. RFID карта с ниска степен на сигурност може да е част от проблема. Но същото важи за споделени PIN кодове, карти, оставени в отключени превозни средства, текучество на персонала, слаби отчети, нестроги процедури на станциите и липса на връзка между покупката на гориво и местоположението на превозното средство. Една система може да използва RFID и въпреки това да бъде небрежно управлявана.

Общински автопарк за поддръжка в Онтарио използва безконтактни карти за снегорини, пикапи и сервизни камиони. През зимата водачите оставят картите в кабината, за да може всеки оператор от нощната смяна да зареди бързо. Системата изисква код на водач, но същият код е написан върху ламиниран лист близо до острова за зареждане. Когато се появява необичайно висока употреба на дизел, супервайзорът първо подозира прекомерна работа на двигателите на празен ход. Истинският проблем се оказва комбинация от споделяне на карти и неразрешено зареждане. Решението не е само подмяна на картите. Общината въвежда персонални идентификатори на водачи, премахва споделените кодове, поставя по-добри камери при колонките и задава лимити за обем гориво според класа на превозното средство.

Това е важно, защото много купувачи търсят anti-skimming RFID карти, сякаш по-добрата карта сама по себе си ще реши целия процес. Защитените RFID карти помагат, но те трябва да бъдат част от дисциплинирана система за управление на горивото.

Системите само с UID са рискови при сериозен контрол на горивото

Някои RFID системи разчитат основно на прочитане на видим идентификатор на картата, например UID или прост сериен номер. Това може да е приемливо за вътрешни приложения с нисък риск и удобство, но е слаба основа за разрешаване на зареждане с гориво. Ако системата за гориво се доверява само на базов идентификатор и не използва криптографска автентикация, тя може да бъде по-лесна за злоупотреба. Професионална програма за карти за гориво в автопарк трябва да използва по-силна технология за идентификационни данни, когато стойността на горивото го оправдава.

Дистрибуторска компания в Лондон има колонка за гориво в базата, която приема по-стари проксимити карти. Картите са удобни и водачите могат бързо да зареждат вановете преди сутрешните маршрути. Проблемът е, че контролерът на колонката проверява само прост номер на карта спрямо списък с одобрени карти. Когато се появява подозрително зареждане през уикенда, компанията осъзнава, че старата картова технология вече не отговаря на стойността на горивото, което преминава през колонката. Новата конфигурация използва защитени RFID карти, проверка с PIN на водача и правила за свързване с превозното средство. Сутрешният процес остава бърз, но логиката за разрешение става много по-трудна за фалшифициране.

За B2B купувачите това е ключовият извод. Ако купувате персонализирани RFID карти за автопаркове за горивни станции, попитайте дали RFID четецът автентикира картата по защитен начин, или просто прочита номер. Разликата може да не се вижда на продуктова снимка, но е важна в реална експлоатация.

Карта плюс PIN е полезно, но само по себе си не е достатъчно

Много системи за гориво изискват PIN след представяне на RFID картата. Това е по-добре от достъп само с карта, но PIN кодовете отслабват, когато се споделят, използват повторно, записват се или не се сменят след напускане на служители. PIN кодът трябва да идентифицира водача или потребителя, а не просто да бъде втори статичен елемент, който всички в базата знаят.

Автобусен оператор в Португалия използва RFID карти за гориво с четирицифрени PIN кодове за водачи. На хартия системата изглежда контролирана. На практика водачите често заемат картите си един на друг, когато автобусите се пренасочват, а стари PIN кодове остават активни дълго след напускане на сезонен персонал. Отчетите за гориво показват покупки, свързани с водачи, които не са били на смяна. Операторът изчиства списъка с потребители, изисква уникална автентикация на водачите и настройва системата да отказва зареждане, ако номерът на автобуса, идентификаторът на водача и профилът на картата не съвпадат с активния график.

PIN кодът трябва да подкрепя отчетността. Ако се превърне в споделена парола за удобство, той спира да изпълнява тази задача.

Обвързването с превозното средство затваря голяма пролука

Един от най-силните начини за намаляване на измамите с RFID карти за гориво е разрешението да бъде обвързано с превозното средство. Това може да се направи по различни начини според системата. Колонката може да изисква въвеждане на номер на превозно средство, показание на километража, потвърждение чрез телематика, съпоставка със сензор на резервоара, разпознаване на регистрационен номер или RFID таг, монтиран върху превозното средство, в допълнение към картата на водача. Целта е проста: картата не трябва да е достатъчна сама по себе си.

Минен изпълнител в Западна Австралия управлява дизелови резервоари на отдалечени обекти. Доставката на гориво е скъпа, а загубите са трудни за разследване, защото много подизпълнители използват една и съща зона за зареждане. Компанията въвежда двуфакторен модел: идентификационни данни на водача и RFID таг на превозното средство, фиксиран към всяка разрешена машина. Колонката приема зареждане само когато идентификационните данни на водача и тагът на машината съвпадат с одобрен профил за конкретния обект. Системата също проверява очакван капацитет на резервоара и тип гориво. Неразрешеното зареждане не изчезва заради една функция. То намалява, защото картата вече не може да действа самостоятелно.

За компании, които купуват RFID системи за управление на гориво, това е важна точка при избора. Попитайте дали системата поддържа карта на водача плюс таг на превозното средство, или всяка транзакция зависи от една подвижна карта.

Мониторингът на транзакциите открива тихите модели

Кражбата на гориво със скимирани или неправомерно използвани RFID карти за автопаркове често е повтаряща се. Транзакциите може да са достатъчно малки, за да не привличат внимание, но достатъчно чести, за да създадат реална загуба. Добър софтуер може да открие модели, които хората пропускат: зареждане извън зоните на маршрута, покупки извън работно време, повтарящи се транзакции точно под лимита, обем гориво над капацитета на резервоара, несъответствие на типа гориво, бързо повторно зареждане или използване на карта далеч от GPS местоположението на превозното средство.

Компания за хладилен транспорт в Полша открива проблем чрез анализ на модели. Една карта, назначена на малък доставен камион, постоянно купува количества дизел, нормални за влекач, а не за лек камион. Картата винаги се използва на одобрени станции, така че базовите правила за одобрение не я спират. Платформата за управление на горивото маркира транзакциите, защото надвишават очаквания обем за този клас превозно средство. Разследването води до по-строги лимити на картата и съпоставка с телематични данни. Компанията също започва да преглежда отчетите за изключения всяка седмица, вместо да чака месечните фактури.

Именно тук сигурността на RFID картите за автопаркове се превръща в проблем на данните. Картата стартира транзакцията. Системата трябва да реши дали тази транзакция има оперативна логика.

Физическото управление на картите все още има значение

Много проблеми с кражби започват от лошо боравене с картите. Водачите оставят карти в сенници, жабки, поставки за чаши или папки за гориво. Диспечерите държат резервни карти в отключени чекмеджета. Механиците заемат карти за тестови шофирания. Временни работници използват карти, назначени на бивши служители. Ако картата е лесно достъпна, всеки следващ слой на сигурност трябва да работи по-усилено.

Компания за отдаване на ванове под наем в Калифорния издава RFID карти за гориво към всяко превозно средство. Клиентите не трябва да ги използват, но понякога картите остават в върнати ванове преди инспекция. Няколко карти изчезват и част от тях са използвани, преди акаунтите да бъдат деактивирани. Компанията променя процеса на връщане така, че картите за гориво да се изваждат и сканират при приемане, след което да се заключват отделно от ключовете на превозните средства. Освен това въвежда автоматични аларми, когато карта се използва след приключване на договора за наем.

Това не е напреднала технология. Това е базов контрол. Но именно базовият контрол често разделя управляемата програма от такава, която лесно се превръща в среда за измами.

Защитената картова технология помага, когато е внедрена правилно

При програми за гориво с по-висок риск купувачите трябва да обмислят защитени RFID картови технологии, които поддържат автентикация, а не просто прочитане на ID. В зависимост от системата това може да включва MIFARE DESFire карти, защитени HF RFID карти, криптирани RFID карти или други платформи за идентификационни данни, създадени за по-силен контрол на достъпа. Точният избор зависи от четеца на системата за гориво, бекенд софтуера и изискваното ниво на сигурност.

Строителна група в ОАЕ управлява стотици машини на временни обекти. Старите ѝ безконтактни карти са лесни за издаване, но трудни за контрол. Компанията преминава към защитена система с RFID карти за автопаркове, използваща по-силна картова автентикация и правила за разрешение на ниво обект. Всеки строителен обект има одобрени профили за гориво. Карти извън активния списък на проекта не могат да разрешат зареждане. Компанията също изважда неактивните карти от системата и включва връщането на карти в процеса на приключване с подизпълнители. Технологията помага, но по-голямото подобрение идва от това, че картите започват да се третират като контролирани идентификационни данни, а не като обикновени аксесоари.

Защитените чипове не са магия, ако системата прочита само публичния идентификатор. Когато сравнявате карти за гориво, попитайте как се извършва автентикацията, какви данни са защитени, дали ключовете са диверсифицирани и дали RFID четецът наистина проверява защитените идентификационни данни.

Поведението на станцията може да реши успеха или провала на програмата

Бензиностанциите и cardlock обектите са част от веригата за сигурност. Ако служителите игнорират предупреждения, позволяват свободно ръчно override одобрение или приемат устни обяснения при неуспешна карта, системата отслабва. При необслужвани острови за гориво значение имат камерите, осветлението, логовете на колонките и физическата организация на зоната. RFID четецът трябва да бъде поставен така, че потребителят да не може удобно да разреши зареждане за едно превозно средство и да напълни друго, без да създаде видимо изключение.

Земеделска кооперация в Аржентина управлява споделена горивна база за ферми членове. Базата използва RFID карти, но зоната около колонките има слепи петна и липсва ясен контрол на лентите. Членовете понякога използват една карта за няколко превозни средства, защото възприемат процеса като неформален. След необясними загуби на гориво кооперацията преработва зоната за зареждане, добавя камери за позицията на превозното средство, изисква избор на vehicle ID и ограничава всяка карта до одобрени типове оборудване. Системата става по-малко неформална, но фермерите я приемат, защото фактурирането става по-точно.

Урокът е практичен. Ако физическият процес на зареждане е хлабав, картовата система ще наследи същата хлабавост.

Не забравяйте мобилните идентификационни данни и NFC

Някои автопаркове разглеждат NFC мобилни идентификационни данни или разрешаване на зареждане чрез приложение. Те могат да бъдат полезни, особено когато са свързани с идентичността на водача и бекенд одобрение. Но изискват и внимателно управление на устройствата. Какво се случва, ако телефонът бъде изгубен? Може ли достъпът да бъде отнет незабавно? Системата проверява ли местоположение? Може ли идентификационният достъп да бъде споделен? Колонката поддържа ли работа офлайн? Мобилният подход може да намали боравенето с пластмасови карти, но не премахва нуждата от автентикация и одитна следа.

Компания за сервизно обслужване на терен в Швеция тества NFC разрешаване на зареждане чрез приложение за водачи. Пилотният проект е обещаващ, защото водачите вече не трябва да носят отделни карти. Компанията обаче запазва строги правила: приложението проверява входа на водача, назначеното превозно средство и местоположението на станцията преди разрешаване на транзакцията. Изгубени телефони могат да бъдат деактивирани централно. Проектът работи, защото мобилният NFC се третира като контролирана идентификационна среда, а не като дигитално копие на стара карта.

За купувачи, които сравняват RFID карти за автопаркове и NFC решения за карти за гориво, важи същият принцип. Идентификационният достъп трябва да бъде свързан с личност, превозно средство, местоположение и правила за транзакции.

Как да намалите риска от скимирани или неправомерно използвани RFID карти за автопаркове

Професионалният план за превенция трябва да комбинира сигурност на идентификационните данни, контрол на процесите и мониторинг на данните. Започнете с картовата технология. Избягвайте слаби само UID решения за достъп до гориво с висока стойност. Използвайте защитени RFID карти или автентикирани идентификационни данни там, където системата ги поддържа. Уверете се, че четецът проверява защитените данни, а не само видимия номер.

След това контролирайте потребителите. Назначавайте карти на водачи, превозни средства или и на двете според оперативния модел. Не допускайте споделени PIN кодове. Деактивирайте картите незабавно, когато служители напуснат, превозни средства бъдат продадени или изпълнители приключат проект. Дръжте резервните карти заключени и регистрирани. Обучете водачите да не оставят карти в превозните средства, освен ако политиката изрично го позволява и рискът е разбран.

Следва контролът на транзакциите. Задайте лимити по тип превозно средство, тип гориво, размер на резервоара, маршрут, време, станция и обект. Изисквайте въвеждане на километраж, когато е полезно, но не разчитайте само на него, защото хората могат да въвеждат неверни числа. Използвайте телематика, GPS, сензори за гориво или RFID тагове на превозните средства, когато стойността на горивото оправдава интеграцията. Следете за повторни транзакции, необичайно време, грешни локации и обеми над очакваното потребление.

Накрая контролирайте процеса на преглед. Отчетите за изключения трябва да се четат от човек, който разбира операциите на автопарка, а не да остават заровени в месечен PDF. Добрата аларма е конкретна. Тя трябва да казва какво е необичайно и какво действие е необходимо. Неясно предупреждение за измама създава умора. Ясна аларма от типа "картата е използвана, докато назначеното превозно средство е било на 18 мили разстояние" привлича внимание.

Какво да попитат купувачите преди поръчка на RFID карти за автопаркове

Преди да поръчате персонализирани RFID карти за автопаркове, задайте директни въпроси към доставчика и системния интегратор. Каква картова технология се използва? Поддържа ли четецът на горивната система защитена автентикация? Картата криптирана ли е, или просто се прочита чрез UID? Могат ли картите да бъдат свързани с превозни средства и водачи? Поддържа ли системата PIN кодове, въвеждане на километраж, монтирани върху превозното средство RFID тагове, интеграция с телематика и лимити на транзакциите? Могат ли изгубени карти да бъдат деактивирани незабавно? Могат ли отчетите да маркират необичайно поведение при зареждане? Как се кодират заместващите карти? Кой контролира ключовете? Как се тестват партидите карти преди внедряване?

Логистична компания в Южна Африка избягва лоша покупка, като задава тези въпроси още в началото. Най-евтиният вариант на карта работи с четците на колонките, но не предлага реална автентикация и няма чист начин да отдели идентичността на водача от идентичността на превозното средство. Компанията избира по-контролирана RFID система за карти за гориво и провежда пилотен проект в две бази преди пълното внедряване. Финансовият екип държи на намаляване на измамите. Оперативният екип държи на бързо зареждане. Финалният дизайн дава достатъчно и на двата екипа.

Цената на карта има значение, но разходът от един модел на измама може да заличи спестяванията от покупката на слаби идентификационни данни.

Истинският проблем е доверие без контекст

Коварната част при измамите със скимирани RFID карти за автопаркове е, че те заемат външния вид на одобрена транзакция. Колонката вижда идентификационни данни. Фактурата записва покупка. Водачът или крадецът може изобщо да не разбива ключалка или да поврежда имущество. Загубата се скрива зад нормална документация.

Затова най-добрата защита е контекстът. Една защитена транзакция за гориво трябва да отговаря на повече от въпроса "разпозната ли е тази карта?" Тя трябва да отговаря: това ли е правилният водач, правилното превозно средство, правилната локация, правилното време, правилният тип гориво, правилният обем и правилният оперативен модел? Когато отговорът е да, зареждането трябва да е бързо. Когато отговорът е не, системата трябва да спре, да предупреди или да изиска одобрение.

RFID картите за автопаркове са полезни инструменти. Безконтактното зареждане може да спести време, да намали документите и да осигури чиста отчетност. Но слабата картова сигурност и нестрогите процеси ги превръщат в привлекателна цел. Мениджърите на автопаркове не се нуждаят от параноя. Те се нуждаят от по-добър дизайн. Използвайте по-силни идентификационни данни там, където е необходимо, свържете картите с превозни средства и водачи, наблюдавайте транзакциите, защитавайте резервните карти и поддържайте дисциплиниран процес на зареждане.

Целта не е всеки водач да се чувства заподозрян. Целта е честната работа да стане по-лесна, а нечестното използване на гориво — по-трудно. Когато системата е изградена така, скимирана или неправомерно използвана RFID карта вече не е тих път към безплатно гориво. Тя се превръща в изключение, което бизнесът може да види, спре и разследва, преди месечната сметка за гориво да се превърне в загадка.