Normalmente, a clonagem de um cartão exige que o plástico seja lido por um dispositivo preparado para duplicar suas informações, mas os tempos mudaram, assim como os métodos de extração. Um grupo de pesquisadores da Universidade de Newcastle demonstrou a eficácia dos ataques distribuídos na hora de 'adivinhar' parâmetros desconhecidos de um cartão de crédito ou débito, incluindo a data de validade e o CVV. Quanto tempo é necessário? Entre quatro e seis segundos.
O risco de compartilhar cartões
Uma das ações mais estúpidas (peço desculpas pela expressão) que uma pessoa pode realizar nas redes sociais é fotografar e compartilhar seus cartões de crédito e/ou débito. Infelizmente, esses usuários não fazem ideia dos riscos associados à publicação de dados como os dezesseis dígitos principais e a data de validade. Na verdade, existem portais de e-commerce na Web que mal exigem esses dois campos para iniciar uma transação. A maioria dos sites pede ao usuário um terceiro valor, que é o código de segurança do cartão (CVV), que serve como barreira de contenção contra o possível roubo dos campos anteriores. O problema... é que o CVV pode ser calculado na base da força bruta.
O estudo da Universidade de Newcastle
Foi o que demonstrou uma equipe de pesquisadores baseados na Universidade de Newcastle. Antes de mais nada, é preciso destacar que essa técnica é eficaz devido à falta de um padrão geral entre os sites de e-commerce para proteger suas transações. Os pesquisadores tomaram como base o 'Top 400' de vendas online reportado pela Alexa (389 foi o número final) e, a partir daí, estabeleceram a robustez de cada um. 291 sites exigem o preenchimento de três campos (número, validade e CVV), enquanto apenas 25 tornam obrigatório um quarto (endereço e CEP). O mais perturbador é que nenhum deles se preocupa em verificar o nome impresso no cartão. O cálculo do CVV é feito por meio de um ataque distribuído usando bots. O CVV é composto por três dígitos, ou seja, o número de combinações nunca ultrapassa mil. A maioria dos serviços permite entre seis e dez tentativas para inserir os dados de um cartão, mais do que suficiente neste caso. Se por algum motivo o atacante tiver o CVV, mas não a data de validade, o processo é ainda mais simples, porque os emissores de cartões não entregam plásticos com duração superior a sessenta meses.
De acordo com os dados disponíveis, a possibilidade de espalhar o ataque por centenas de sites simultaneamente reduz o tempo de espera para cerca de seis segundos. Os pesquisadores decidiram ir além das compras online com um número de cartão roubado e realizaram um experimento no qual usaram as informações obtidas de um cartão para criar uma conta falsa e transferir fundos para o exterior. O processo levou 27 minutos, menos do que o tempo necessário para o banco bloquear o envio. Para fechar, dois dados muito interessantes: por um lado, esse tipo de ataque afeta os cartões Visa, já que a rede MasterCard detectou as operações distribuídas e as desativou na hora. E por outro, os pesquisadores tentaram entrar em contato com os 36 sites mais importantes, na tentativa de reportar suas descobertas. Somente oito fizeram ajustes em seus sistemas.
