Хакеры рассказали в даркнете о методах обхода протокола 3D Secure

Хакеры рассказали в даркнете о методах обхода протокола 3D Secure

Обойти последний вариант функции безопасности можно, сочетая социальную инженерию с фишинговыми атаками.

Киберпреступники постоянно изучают новые способы обхода протокола 3D Secure (3DS), используемого для авторизации online-транзакций с использованием кредитных или дебетовых карт. Пользователи подпольных форумов предлагают советы о том, как обойти последний вариант функции безопасности, сочетая социальную инженерию с фишинговыми атаками.

Функция 3DS сильно изменилась в сравнении с первой версией, когда банк запрашивал у пользователя код или пароль для подтверждения транзакции. Во второй версии (3DS 2), разработанной для смартфонов, пользователи могут подтвердить свою покупку, авторизовавшись в банковском приложении с помощью биометрических данных (отпечаток пальца, распознавание лица). Несмотря на расширенные функции безопасности в 3DS 2, первая версия по-прежнему широко используется, предоставляя киберпреступникам возможность использовать свои навыки социальной инженерии, чтобы обманом заставить пользователей дать код или пароль для подтверждения транзакции.

Специалисты компании Gemini Advisory рассказали о некоторых методах, которыми киберпреступники делятся на форумах в даркнете, чтобы совершать мошеннические покупки в интернет-магазинах с поддержкой 3DS. Все начинается с получения доступа к полной информации о владельце карты, включая имя, номер телефона, адрес электронной почты, физический адрес, девичью фамилию матери, идентификационный номер и номер водительских прав. Киберпреступники используют эти данные, чтобы выдать себя за сотрудника банка, звонящего клиенту для подтверждения личности. С помощью полученной личной информации они завоевывают доверие жертвы и запрашивают ее пароль или код для завершения процесса.

Та же тактика может работать с более поздними версиями 3DS и делать покупки в режиме реального времени. Используя полную информацию о держателе карты, устройство смены голоса и приложение для подделки телефонного номера, мошенник может инициировать покупку на сайте, а затем позвонить жертве, чтобы получить необходимую информацию.

«На последнем этапе хакер сообщает жертве, что она получит код подтверждения для окончательной проверки личности, после чего киберпреступник оформляет заказ в магазине. Когда будет предложено ввести проверочный код, который был отправлен на телефон жертвы, мошенник сможет получить его от жертвы», — пояснили эксперты.

Получить код 3DS можно и другим способом, таким как фишинг. Когда жертва совершает покупку на фишинговом сайте, преступники передают все данные в легитимный магазин, чтобы получить свой продукт. По словам экспертов, некоторые киберпреступники также добавляют данные украденных кредитных карт в учетную запись PayPal и используют их в качестве способа оплаты.

Другой метод является «классическим» и включает в себя взлом телефона жертвы с помощью вредоносного ПО, которое может перехватить код безопасности и передать его мошеннику. Кроме того, многие магазины не запрашивают код 3DS, когда сумма транзакции ниже определенного лимита, что позволяет мошенникам совершать несколько небольших покупок.


Один хакер может причинить столько же вреда, сколько 10 000 солдат! Подпишись на наш Телеграм канал, чтобы узнать первым, как выжить в цифровом кошмаре!