D'ordinaire, le clonage d'une carte nécessite que le plastique soit enregistré par un lecteur préparé à dupliquer ses informations, mais les temps ont changé, ainsi que les méthodes d'extraction. Un groupe de chercheurs de l'Université de Newcastle a démontré l'efficacité des attaques distribuées pour « deviner » les paramètres inconnus d'une carte de crédit ou de débit, y compris la date d'expiration et son CVV. Combien de temps faut-il ? Entre quatre et six secondes.
Le danger des réseaux sociaux
Une des actions les plus stupides (je m'excuse pour l'expression) qu'une personne peut accomplir sur les réseaux sociaux est de photographier et partager ses cartes de crédit et/ou débit. Malheureusement, ces utilisateurs n'ont pas la moindre idée des risques associés à la publication de données comme les seize chiffres principaux et la date d'expiration. En fait, il existe des portails dédiés au e-commerce sur le Web qui ne demandent que ces deux champs pour initier une transaction. La plupart des sites demandent à l'utilisateur un troisième champ, le code de sécurité du plastique (CVV), qui sert de barrière de contention contre le vol éventuel des champs précédents. Le problème… c'est que le CVV peut être calculé par force brute.
L'étude de l'Université de Newcastle
C'est ainsi que l'a démontré une équipe de chercheurs de l'Université de Newcastle. Avant tout, il est nécessaire de souligner que cette technique est efficace en raison du manque de standard général entre les sites e-commerce pour protéger leurs transactions. Les chercheurs ont pris pour base le « Top 400 » des ventes en ligne rapporté par Alexa (389 fut le nombre final), et à partir de là, ils ont établi la robustesse de chacun. 291 sites exigent la saisie de trois champs (numéro, expiration et CVV), tandis que seulement 25 rendent obligatoire la saisie d'un quatrième (adresse et code postal). Le plus perturbant est que aucun d'entre eux ne vérifie le nom imprimé sur le plastique. Le calcul du CVV s'effectue via une attaque distribuée utilisant des bots. Le CVV est composé de trois chiffres, c'est-à-dire que le nombre de combinaisons ne dépasse jamais mille. La plupart des services permettent entre six et dix tentatives pour saisir les données d'une carte, plus que suffisant dans ce cas. Si pour une raison quelconque l'attaquant possède le CVV mais pas la date d'expiration, le processus est encore plus simple, car les émetteurs de cartes ne fournissent pas de plastiques avec une durée excédant soixante mois.
Selon les données disponibles, la possibilité de répartir l'attaque sur des centaines de sites simultanément réduit le temps d'attente à environ six secondes. Les chercheurs ont décidé d'aller au-delà des achats en ligne avec un numéro de carte volé, et ont réalisé une expérience dans laquelle ils ont utilisé les informations obtenues d'un plastique dans le but de créer un compte factice et de transférer des fonds à l'étranger. Le processus complet a pris 27 minutes, soit moins que le temps nécessaire pour que la banque puisse bloquer l'envoi. Pour terminer, deux données très intéressantes : d'un côté, ce type d'attaque affecte les cartes Visa, car le réseau MasterCard a détecté les opérations distribuées et les a désactivées immédiatement. Et d'un autre côté, les chercheurs ont tenté de contacter les 36 sites les plus importants, dans le but de signaler leurs découvertes. Seulement huit ont effectué des ajustements sur leurs systèmes.
Accédez à l'étude complète (PDF) : http://eprint.ncl.ac.uk/file_store/production/230123/19180242-D02E-47AC-BDB3-73C22D6E1FDB.pdf
