Zdaniem naukowców z uniwersytetu w Newcastle, wystarczy sześć sekund, by skutecznie okraść właściciela karty Visa. Oszust nie musi przy tym kopiować paska czy wykradać poufnych informacji. Odgadnie dane potrzebne do przeprowadzenia transakcji.
Choć na pierwszy rzut oka taka informacja wydaje się niedorzeczna, to naukowcy z uniwersytetu w Newcastle przekonują, że taki atak jest skuteczny. Co więcej, nie można wykluczyć, że właśnie w ten sposób na początku listopada okradziono 9 tys. klientów brytyjskiego Tesco Banku – donosi serwis finextra.com. Na czym polega ujawniony przez specjalistów „rozproszony atak odgadujący”?
Za pomocą specjalnego oprogramowania przeprowadzane jest w tym samym czasie tysiące prób dokonania płatności w różnych sklepach internetowych. Taki atak ma na celu odgadnięcie poszczególnych cyfr z karty Visa. Wiele sklepów pozwala na wykonanie pod rząd 10 czy nawet 20 prób dokonania transakcji. Nieudane próby nie są przy tym nigdzie raportowane. Sprawę ułatwia fakt, że sklepy stosują różne formularze i w różny sposób komunikują o błędach. Dzięki temu hakerzy mogą pozbierać informacje z różnych witryn i złożyć je w całość.
Zdaniem naukowców, w ten sposób można odgadnąć numer karty i dopasować do niego pozostałe dane – datę ważności i kod zabezpieczający. Sprawę ułatwia fakt, że sześć pierwszych cyfr na karcie identyfikuje organizację wydającą kartę (np. numery kart Visa zaczynają się od 4) i bank, który wydał kartę. Do odgadnięcia pozostaje więc już tylko 10 cyfr numeru karty. Zdaniem specjalistów jest to stosunkowo proste. Podają, że do odgadnięcia daty ważności wystarczy nie więcej niż 60 prób, a kodu CVV do 1000 prób. Przy zmasowanym ataku wystarczy zaledwie sześć sekund, by rozpracować algorytm cyfr składających się na kompletny obraz karty.
Visa została poinformowana o sprawie, ale jej zdaniem badanie nie uwzględnia wszystkich aspektów zapobiegania nadużyciom. Organizacja podkreśla, że użytkownicy są chronieni w przypadku ataków hakerskich i pieniądze zostają im zwrócone. Dodaje też, że coraz więcej sklepów stosuje zabezpieczenia 3D Secure, które nie pozwalają na przeprowadzenie tego typu ataku. Naukowcy zalecają z kolei, by do płatności internetowych używać oddzielnej karty, na przykład wirtualnej, a na podstawowym plastiku ustawić niskie limity.
Problem ten nie dotyczy natomiast kart MasterCard. W tym przypadku system wykrywa podejrzane operacje już po 10 nieudanych próbach wykonania transakcji.
