Normalerweise erfordert das Klonen einer Kreditkarte, dass der Plastikstreifen von einem entsprechend vorbereiteten Lesegerät erfasst wird. Doch die Zeiten haben sich geändert, ebenso wie die Methoden der Datenextraktion. Eine Gruppe von Forschern der University of Newcastle hat die Effektivität von verteilten Angriffen beim „Erraten“ unbekannter Parameter einer Kredit- oder Debitkarte demonstriert – einschließlich des Ablaufdatums auf dem Plastik und des CVV. Wie lange dauert das? Zwischen vier und sechs Sekunden.
Eine der dümmsten Aktionen (ich entschuldige mich für den Ausdruck), die jemand in sozialen Netzwerken durchführen kann, ist das Fotografieren und Teilen von Kredit- und Debitkarten. Leider haben diese Nutzer keine Ahnung von den Risiken, die mit der Veröffentlichung von Daten wie den sechzehn Hauptziffern und dem Ablaufdatum verbunden sind. Tatsächlich gibt es im Web E-Commerce-Portale, die lediglich diese beiden Felder für eine Transaktion verlangen. Die meisten Websites fordern vom Nutzer einen dritten Wert, nämlich den Sicherheitscode der Karte (CVV), der als Barriere gegen möglichen Diebstahl der vorherigen Felder dient. Das Problem: Der CVV kann per reiner Brute-Force-Methode berechnet werden.
Die Methode im Detail
So hat es ein Forscherteam an der University of Newcastle demonstriert. Zunächst ist zu betonen, dass diese Technik wegen des Fehlens eines allgemeinen Standards zwischen den E-Commerce-Websites funktioniert, um ihre Transaktionen zu schützen. Die Forscher nahmen den „Top 400“ der Online-Verkäufe, den Alexa meldet (389 war die endgültige Zahl), als Grundlage und ermittelten daraus die Robustheit der einzelnen Websites. 291 Websites verlangen die Eingabe von drei Feldern (Nummer, Ablaufdatum und CVV), während nur 25 die Eingabe eines vierten (Adresse und Postleitzahl) obligatorisch machen. Das Beunruhigendste: Keine von ihnen überprüft den auf der Karte aufgedruckten Namen. Die Berechnung des CVV erfolgt über einen verteilten Angriff mit Bots. Der CVV besteht aus drei Ziffern, also übersteigt die Anzahl der Kombinationen nie tausend. Die meisten Dienste erlauben zwischen sechs und zehn Versuche, um die Daten einer Karte einzugeben – mehr als genug in diesem Fall. Wenn der Angreifer aus irgendeinem Grund den CVV, aber nicht das Ablaufdatum besitzt, ist der Prozess noch einfacher, weil Kartenherausgeber keine Karten mit einer Gültigkeit von mehr als sechzig Monaten ausgeben.
Den verfügbaren Daten zufolge reduziert die Möglichkeit, den Angriff gleichzeitig auf Hunderte von Websites auszudehnen, die Wartezeit auf etwa sechs Sekunden. Die Forscher gingen über Online-Käufe mit einer gestohlenen Kartennummer hinaus und führten ein Experiment durch, bei dem sie die Informationen einer Karte nutzten, um ein falsches Konto zu erstellen und Geld ins Ausland zu transferieren. Der Prozess dauerte 27 Minuten, weniger als die Zeit, die die Bank benötigt, um die Überweisung zu blockieren. Abschließend zwei interessante Fakten: Zum einen betrifft diese Art von Angriff Visa-Karten, da das MasterCard-Netzwerk verteilte Operationen erkannte und sie sofort deaktivierte. Zum anderen versuchten die Forscher, Kontakt zu den 36 wichtigsten Websites aufzunehmen, um ihre Entdeckungen zu melden. Nur acht nahmen Anpassungen an ihren Systemen vor.
