Изобретен метод взлома карт Visa за 6 секунд

В исследовании, опубликованном в журнале IEEE Security & Privacy, эксперты описали, как можно обойти защиту при помощи так называемой атаки распределенного перебора (Distributed Guessing Attack).

По словам ученых, ни современные платежные системы, ни банки не могут обнаружить многочисленные неудачные попытки хакеров получить доступ к данным кредитных карт. Проверяя разные варианты номеров, дат и кодов безопасности карт на различных сайтах, злоумышленники могут за несколько секунд получить совпадения и подтвердить все необходимые данные.

Как пояснил ведущий автор исследования Мохаммед Али, атака подобного рода эксплуатирует две уязвимости, которые сами по себе не представляют особой опасности, но при комбинированном использовании представляют серьезную угрозу для всей платежной системы. Прежде всего, современные системы электронных платежей не фиксируют неудачные попытки платежа на разных web-сайтах. Таким образом, возможно бесконечно перебирать варианты для каждого из реквизитов карты, используя количество разрешенных сайтом попыток (обычно 10 или 20). Во-вторых, различные сайты запрашивают разные реквизиты для подтверждения покупки. То есть, собрать фрагменты информации и сложить их вместе – довольно просто, отмечает Али.

С помощью одного верно угаданного поля подбираются другие. Если посылать запросы одновременно на множество сайтов, можно получить положительные ответы на каждый из них в течение двух секунд, сообщает SecutityLab.

Для получения данных кредитных карт атака распределенного перебора использует интернет-магазины. Перебираются разные варианты и в зависимости от реакции сайта на попытку осуществить транзакцию, определяется правильный вариант.

По словам исследователя, при помощи данной атаки довольно легко взломать платежную систему VISA. Система никак не реагирует на неудачные попытки платежа, предпринятые на разных сайтах с использованием одной и той же карты. Централизованная сеть MasterCard смогла распознать атаку методом перебора менее чем за десять попыток, даже в тех случаях, когда платежи были распределены по нескольким сетям.