Gewoonlijk vereist het klonen van een creditcard dat de plastic kaart wordt gelezen door een apparaat dat de gegevens kan dupliceren, maar de tijden zijn veranderd, net als de methoden om gegevens te extraheren. Een team van onderzoekers aan de University of Newcastle heeft de effectiviteit aangetoond van zogenaamde distributieve aanvallen bij het “raden” van onbekende parameters van een creditcard of betaalpas, waaronder de vervaldatum en de CVV-code. Hoe lang duurt dat? Tussen de vier en zes seconden.
Een van de domste dingen (en ik verontschuldig me voor de uitdrukking) die iemand kan doen op sociale media is het fotograferen en delen van zijn of haar creditcards en/of betaalpassen. Helaas hebben die gebruikers geen flauw idee van de risico's van het publiceren van gegevens zoals de zestien hoofdcijfers en de vervaldatum. Sterker nog, er zijn e-commercewebsites die slechts deze twee velden vereisen om een transactie te starten. De meeste sites vragen een derde waarde, namelijk de beveiligingscode van de plastic kaart (CVV), die dient als beveiligingsbarrière tegen mogelijke diefstal van de voorgaande velden. Het probleem is dat de CVV met brute kracht kan worden berekend.
De aanval op de CVV
Dat is aangetoond door een team van onderzoekers aan de University of Newcastle. Allereerst is het belangrijk op te merken dat deze techniek effectief is doordat er geen algemene standaard is tussen e-commercewebsites om hun transacties te beveiligen. De onderzoekers gebruikten de “Top 400” van online verkoop die Alexa rapporteert (389 was het uiteindelijke aantal) en bepaalden op basis daarvan de robuustheid van elke site. 291 sites vereisen de invoer van drie velden (nummer, vervaldatum en CVV), terwijl slechts 25 een vierde veld verplicht stellen (adres en postcode). Het meest verontrustende is dat geen van hen de naam op de plastic kaart controleert. De berekening van de CVV gebeurt via een distributieve aanval met bots. De CVV bestaat uit drie cijfers, dus het aantal combinaties is maximaal duizend. De meeste services staan tussen de zes en tien pogingen toe om de gegevens van een kaart in te voeren, meer dan voldoende in dit geval. Als de aanvaller om de een of andere reden de CVV al heeft maar niet de vervaldatum, is het proces nog eenvoudiger, omdat kaartuitgevers geen kaarten met een langere geldigheid dan zestig maanden uitgeven.
De proef op de som
Volgens de beschikbare gegevens verkort de mogelijkheid om de aanval tegelijkertijd over honderden sites te verspreiden de wachttijd tot ongeveer zes seconden. De onderzoekers gingen verder dan online aankopen met een gestolen kaartnummer en voerden een experiment uit waarbij ze de informatie van een plastic kaart gebruikten om een neprekening te openen en geld naar het buitenland over te maken. Dit proces duurde 27 minuten, minder dan de tijd die de bank nodig heeft om de overboeking te blokkeren. Tot slot twee interessante feiten: enerzijds treft dit type aanval Visa-kaarten, omdat het MasterCard-netwerk de distributieve operaties detecteerde en deze onmiddellijk uitschakelde. Anderzijds probeerden de onderzoekers contact op te nemen met de 36 belangrijkste sites om hun ontdekkingen te melden. Slechts acht pasten hun systemen aan.
