Di solito, la clonazione di una carta richiede che la plastica venga registrata da un lettore predisposto a duplicarne le informazioni, ma i tempi sono cambiati, così come i metodi di estrazione. Un gruppo di ricercatori dell'Università di Newcastle ha dimostrato l'efficacia degli attacchi distribuiti nel tentativo di «indovinare» quei parametri sconosciuti di una carta di credito o debito, inclusa la data di scadenza e il CVV. Quanto tempo serve? Tra quattro e sei secondi.
Una delle azioni più stupide (mi scuso per l'espressione) che una persona possa compiere sui social media è fotografare e condividere le proprie carte di credito e/o debito. Purtroppo, questi utenti non hanno la minima idea dei rischi associati alla pubblicazione di dati come i sedici numeri principali e la data di scadenza. Ci sono portali dedicati all'e-commerce sul Web che richiedono solo quei due campi per avviare una transazione. La maggior parte dei siti chiede all'utente un terzo valore, il codice di sicurezza della carta (CVV), che funge da barriera di contenimento contro il possibile furto dei campi precedenti. Il problema... è che il CVV può essere calcolato a pura forza bruta.
L'attacco in dettaglio
È quanto ha dimostrato un team di ricercatori dell'Università di Newcastle. Innanzitutto, è necessario sottolineare che questa tecnica è efficace a causa della mancanza di uno standard generale tra i siti di e-commerce per proteggere le loro transazioni. I ricercatori hanno preso come base il «Top 400» delle vendite online segnalato da Alexa (389 è stato il numero finale) e da lì hanno stabilito la robustezza di ciascuno. 291 siti richiedono l'inserimento di tre campi (numero, scadenza e CVV), mentre solo 25 rendono obbligatorio l'inserimento di un quarto (indirizzo e codice postale). La cosa più inquietante è che nessuno di essi verifica il nome stampato sulla carta. Il calcolo del CVV viene effettuato tramite un attacco distribuito usando bot.
Il CVV è composto da tre cifre, quindi il numero di combinazioni non supera mai le mille. La maggior parte dei servizi consente tra sei e dieci tentativi per inserire i dati di una carta, più che sufficiente in questo caso. Se per qualche motivo l'attaccante possiede il CVV ma non la data di scadenza, il processo è ancora più semplice, perché gli emittenti di carte non rilasciano plastiche con una durata superiore a i sessanta mesi.
Secondo i dati disponibili, la possibilità di diffondere l'attacco a centinaia di siti contemporaneamente riduce il tempo di attesa a circa sei secondi. I ricercatori hanno deciso di andare oltre gli acquisti online con un numero di carta rubato e hanno condotto un esperimento in cui hanno utilizzato le informazioni ottenute da una carta con l'obiettivo di creare un conto falso e trasferire fondi all'estero. Il processo ha richiesto 27 minuti, meno del tempo necessario affinché la banca possa bloccare l'invio. In chiusura, due dati molto interessanti: da un lato, questo tipo di attacco colpisce le carte Visa, poiché la rete MasterCard ha rilevato le operazioni distribuite e le ha disattivate sul momento. Dall'altro, i ricercatori hanno cercato di contattare i 36 siti più importanti, nel tentativo di segnalare le loro scoperte. Solo otto hanno apportato modifiche ai loro sistemi.
