如何黑掉礼品卡

作者:星期一, 九月 4, 20170
分享:

2015年11月,威尔·卡布特在一家安全公司工作,签下了墨西哥一家大型连锁餐厅的渗透测试任务,要找出其网站上的可利用漏洞。

到达其中一家餐厅后,卡布特注意到收银台旁放着一堆未激活的礼品卡。在他一张一张翻阅礼品卡时,他发现了一个模式:虽然卡片最后4位数字看起来好像是各不相同的随机数,但除了有1位数字是依次递增的外,其他数字均保持一致,就好像理好的扑克牌。吃完玉米煎饼,欺诈这一系统的计划也在他脑海中成型了。

礼品欺诈

经过几年的零售礼品卡行业研究,卡布特打算在本周末举行的Toorcon黑客大会上公布他的发现。这些发现是可以帮助黑客确定礼品卡号并从中牟利的超简单技巧,这甚至会发生在卡片合法持有者还没来得及使用之前。尽管其中有些方法已经半公开了几年,某些零售商也已经补上了安全漏洞,但还有一部分目标依然对礼品卡黑客方法敞开大门。正如对最近刚被取缔的暗网市场AlphaBay的分析所呈现的,现实中的犯罪分子也已大量采用这些骗术。

卡布特目前在 Evolve Security 当研究员,他说:“你基本上是通过这些礼品卡在偷取别人的钱。你可以从餐馆、商场、影院、航空公司等拿走礼品卡样本,然后找出其中模式,确定出卖给客户的其他礼品卡,然后盗取其中价值。”

要实施此类诈骗,必须获得至少一张目标公司的礼品卡。未激活礼品卡通常在餐厅和零售商处任取,要不然买一张也行。虽然不是所有卡片,都像上文所述墨西哥餐厅的礼品卡一样依次递增1。但获取2-3张卡片,有助于确定除此之外的模式。然后,就可以访问商场或餐厅用来查验卡片价值的网站了。此处,卡布特会运行暴力破解软件Burp Intruder循环反复尝试卡号后4位随机数的数值。该过程大约持续10分钟。通过重复该过程,再加上其他可预测的数值,网站将确认卡片各自含有的价值。“只要找到一张礼品卡或优惠券,你就能暴力破解该网站。”

一旦窃贼确定了被激活的有价值卡号,就能在零售商的电子商务页面消费这些卡,甚至亲身现场使用。卡布特用亚马逊上卖的价值120美元的磁条写入设备,将卡号写入了空白塑料卡上,然后发现大多数零售商都毫不迟疑地接受了他的卡。卡布特仅仅让商场或餐厅查了下卡片余额,并没有真正消费属于受害者的卡片。

这就是个匿名攻击。我可以直接走进餐厅,点餐消费,然后堂而皇之地回家。那张卡上有50美元的余额,然后,砰,消失了。

平衡法则

自2年前发现该礼品卡欺诈以来,卡布特一直在警告零售商和餐厅注意这种骗术。潜在目标——包括美国乔氏连锁超市、梅西百货和塔可钟快餐。他们要么撤下礼品卡价值查询网页并要求用户通过电话查询,要么在查询网页上添加验证码,防止自动化程序暴力破解礼品卡号。

但其他餐厅、零售商店和公司(卡布特并未透露具体商号),不是未能实现针对此类欺诈的安全措施,就是添加的防御措施可以被绕过。他发现,很多礼品卡承办商在查询网页上使用的验证码,他都可以通过使用 Burp Proxy 工具禁用该页面的JavaScript元素,轻易剥去。这就让他可以像2015时那样,用同样的暴力破解攻击,找出被激活礼品卡卡号加以利用。他测试过的其他小型零售商和地区性连锁店,则根本没有加上验证码,或者用的是压根不用暴力破解就能猜出的递增式卡号。

除了卡号,有些零售商的卡片还增加了PIN码。但仅在查询卡片余额的时候才要求输入PIN码,消费时不用。而且,如果黑客真心想要确定这些PIN码保护卡片的价值,同样可以用Burp Intruder暴力破解之,跟破解卡号本身一样简单。

卡布特指出,甚至加上了健壮验证码的餐厅和零售商,也依然脆弱。只要礼品卡放店里任取,他就可以整堆全拿走,拍下卡背面,再放回去。然后,通过餐馆或零售商的网站定期查询这些卡号。只要发现有卡片被激活,里面充的钱就可以随便花了。

卡布特找到的漏洞并非纯理论上的。今年5月,安全公司Flashpoint发布了一份报告,称在犯罪论坛发现数百关于“被破解”礼品卡的讨论,讨论高峰期在2016年夏天,然后2017年初又激增了一次,而2016年之前则一个此类讨论都没有。Flashpoint分析师里夫·罗利称,2016年11月到今年7月AlphaBay被FBI取缔的8个月间,仅AlphaBay一家,就通过售卖十几个品牌的被盗礼品卡,达到了40多万美元的销售额,受害商家包括OfficeMax和全食超市之类的卖场。Flashpoint向受影响零售商之一了解情况时,该公司研究人员确定,卖家确实使用了自动化工具暴力破解被激活的礼品卡,就像卡布特展示的那样。“很多礼品卡是顺序编号的,卖家看来就是那么查验的。”

卡布特点出的所有礼品卡安全问题,都有相对简单的修复措施:在礼品卡价值查询网站上实现坏人绕不过的强验证码,不要在收银台留下可以随意拿走的未激活礼品卡,在卡片上使用可刮涂层防偷拍替换。

但在零售商和餐厅做出修复之前,消费者最好在购买礼品卡前三思,毕竟自己的钱很有可能被黑客吸走。在从零售柜台拿走未受保护的卡片前,或许可以考虑一下都有谁可能已经先拿走过一次了——还有谁可能知道这张塑料卡片的秘密。

来源:《连线》

 

关键词:
分享:

相关文章

写一条评论

 

 

0条评论