Alat ini boleh mendapatkan maklumat kad kredit dalam masa 6 saat

Sekumpulan penyelidik telah merancang alat yang membantu mereka mencari maklumat kad kredit - termasuk CVV dan tarikh luput - dengan mengirimkan pertanyaan kepada beberapa tapak perniagaan e-dagang.

Kajian menyeluruh oleh Mohammad Aamir Ali, Budi Arief, Martin Emms dan Aad van Moorsel, menggariskan pembayaran dalam talian dengan menggunakan kad kredit dan debit dan isu keselamatan yang disebabkan oleh pelbagai gerbang pembayaran di laman web pedagang yang berlainan, telah diterbitkan dalam IEEE Security & Privacy.

Algoritma alat meneka dan menguji skor permutasi CVV dan tarikh tamat pada beratus-ratus laman web pedagang.

Penulis kajian, yang dikaitkan dengan Newcastle University, menunjukkan bahawa alat mereka juga boleh digunakan untuk meneka kod zip dan data alamat. Peretas boleh menggunakan alat ini untuk mengkorelasikan data lokasi dengan institusi kewangan yang mengeluarkan kad atau menggunakan alat pemutar untuk mengetahui tapak pedagang yang menggesekkan kad tersebut.

"Perbezaan dalam penyelesaian keselamatan dari pelbagai laman web memperkenalkan kerentanan yang dapat dieksploitasi secara praktikal dalam sistem pembayaran keseluruhan. Penyerang boleh mengeksploitasi perbezaan ini untuk membina serangan meneka yang ditagih yang menghasilkan butiran pembayaran kad boleh guna - nombor kad, tarikh luput, nilai pengesahan kad dan alamat pos - satu medan pada satu masa, Setiap medan yang dihasilkan boleh digunakan berturut-turut untuk menghasilkan bidang seterusnya dengan menggunakan laman web saudagar yang berlainan, "kata kajian tersebut.

Jika tapak pedagang yang berkenaan tidak meminta kod ZIP, maka alat ini berfungsi seperti angin dan memperoleh maklumat kad adalah sekeping kek untuk penyerang.

Bagaimana Alat Meneka?

Kajian itu menggariskan bahawa kerja meneka didayakan oleh dua kelemahan utama laman e-dagang.

"Untuk mendapatkan butiran kad, seseorang boleh menggunakan halaman pembayaran pedagang web untuk meneka data: balasan saudagar untuk percubaan transaksi akan menyatakan sama ada tekaan itu betul atau tidak, " tambah laporan tersebut.

Mula-mula, permintaan pembayaran berganda dari kad yang sama pada tapak pedagang yang berbeza tidak menaikkan bendera dalam ekosistem pembayaran dalam talian semasa. Kedua, peniaga web yang berbeza memberikan set yang berbeza bidang terperinci kad, yang membolehkan alat serangan meneka untuk menguraikan maklumat kad satu bidang pada satu masa.

Sekiranya penyerang dapat memecahkan butiran kad anda, ia bukan sahaja akan membolehkannya berbelanja dengan menggunakan kad tetapi pemindahan wang dalam talian juga boleh dibuat - lebih disukai ke akaun tanpa nama di sesetengah negara lain kerana serangan sedemikian boleh digagalkan oleh pihak bank dengan membalikkan pembayaran tetapi pembalikan merentas negara adalah proses yang lebih membosankan dan memakan waktu yang memberikan penyerang masa yang mencukupi untuk menarik diri.

Penyelidikan juga menunjukkan bahawa kad Visa lebih mudah terdedah kepada serangan daripada Mastercard. Ini kerana Mastercard ditutup selepas 100 percubaan tidak sah dibuat, tetapi ini tidak berlaku dengan Visa.

"Untuk menghalang serangan itu, baik penyeragaman atau pemusatan boleh dilakukan, yang sudah disediakan oleh beberapa bank penerbit kad. Standardisasi akan membayangkan bahawa semua peniaga perlu menawarkan antara muka pembayaran yang sama, iaitu, bilangan medan yang sama. Kemudian serangan itu tidak lagi berskala. Pemusatan boleh dicapai melalui gerbang pembayaran atau rangkaian pembayaran kad yang mempunyai pandangan penuh terhadap semua percubaan pembayaran yang berkaitan dengan rangkaiannya, "kajian itu menyimpulkan.

Walaupun tidak ada standardisasi atau sentralisasi yang sesuai dengan intipati internet - kebebasan dan kebebasan - proses ini pasti akan membuat segalanya lebih aman bagi pemegang kad dan membuat mereka kurang terdedah kepada serangan dalam talian.