أمن مختل » أرشيف المدونة » كيفية سرقة مليون

» أرشيف المدونة » كيف تسرق مليونًا كيف تسرق مليونًا 29 أكتوبر 2007 بواسطة admin | منشور في DEranged Security | هل تتذكرون أنني قبلت تحدي سرقة مليون كرونة سويدية (150,000 دولار) لأصبح مليونيرًا خلال عطلة نهاية الأسبوع؟ لا، لم أنجح. فقد استغرق اختيار الطريقة، والتعامل مع الجوانب القانونية، والتحدث إلى جميع الأطراف وقتًا طويلًا جدًا. أعترف بذلك ويؤلمني، فلم أنجح ضمن المهلة الزمنية المحددة، لكن مهلًا، باستثناء عامل الوقت، كان الانتصار لي! بالنسبة لمن لم يقرأ القواعد من قبل، ها هي مرة أخرى: * احصل على وصول إلى مليون كرونة على الأقل (لتصبح مليونيرًا!!) * لا تُقبض عليك (مهم جدًا!) * لا تضع أحدًا في ورطة بأي شكل من الأشكال (افعل الخير، لا الشر) * يجب إنهاء المهمة قبل يوم الاثنين (وإلا سأمل) * حسّن الأمان بحيث لا يتمكن أي شخص آخر من فعل ذلك مجددًا (هذه هي الغاية كلها!) الطريقة إن أمن تكنولوجيا المعلومات هو شغفي، لكن في عالم اليوم أصبح الحد الفاصل بين أمن الحاسوب والأمن المادي رفيعًا للغاية. فمثلًا، ما الفائدة من جدار حماية مثالي إذا كان الباب مفتوحًا يسمح لك بالخروج بالخادم؟ أو ما الفائدة من كلمة مرور قوية إذا كتبتها بجانب حاسوبك؟ هذا بالضبط ما أردت تضمينه في هذا التحدي. في أواخر التسعينيات، كانت تلك السنوات الذهبية لعمليات الاحتيال ببطاقات الائتمان، حيث كان الناس يتبادلون آلاف تفاصيل بطاقات الائتمان المسروقة عبر قنوات IRC المفتوحة. كان معظم هؤلاء الجالسين في منازلهم، بل دون حتى استخدام وكلاء (proxys) أو التشفير. كانوا يخترقون المتاجر الإلكترونية والشركات التي بدأت أعمالها عبر الإنترنت للتو، ولا تعرف شيئًا عن الحواسيب، بل وتحتفظ بقوائم نصية واضحة لبطاقات الائتمان على خوادم يسهل الوصول إليها. كان الناس يتبادلون بطاقات الائتمان مقابل بطاقات ائتمان أخرى، أو أشياء أخرى مثل الأصداف (shells)، وكلمات المرور، وشبكات الروبوتات (botnets). ولم تكن الجرائم حتى تُحقق فيها طالما أن الأموال المسروقة كانت أقل من تكلفة التحقيق، ونحن جميعًا نعلم الأجور غير الواقعية التي كان يطلبها هؤلاء “الخبراء” غير الكفؤين في مجال الحاسوب. وما زالوا يفعلون ذلك حتى اليوم… بل إنني أعتقد أن الإنترنت شهد جرائم أكثر في ذلك الوقت إذا قارنا أعداد السرقة/الاحتيال بعدد المستخدمين. لذا لا، لم يكن كل شيء أفضل في الماضي، بل فقط لم يكن يُنظر إليه بجدية كافية. لماذا أخبركم بهذا؟ لأنه حتى لو مرّ عشر سنوات على ذلك، تظل بطاقات الائتمان واحدة من أسهل مصادر المال وهدفًا لأي مجرم، بافتراض أنهم يعرفون ما يفعلونه. وأنا أستهدف نفس الشيء. الضحايا هذا ما كان سيحدث للضحايا لو أخذنا الأمر خطوة إضافية: إنه عطلة نهاية الأسبوع، مما يعني أن الناس ينفقون بكل سرور مبالغ طائلة في الحانات/النوادي. بالطبع ليسوا في كامل وعيهم، ولن ينتبهوا لسرقة حساباتهم البنكية. في اليوم التالي، وهم يعانون من آثار الثمالة، سيدركون أن شخصًا ما سرق الليلة الماضية معلومات بطاقة الائتمان الخاصة بهم، ومعها كل أموالهم. الذاكرة ضبابية بعض الشيء، لكنهم يتذكرون استخدام بطاقة الائتمان مرتين: مرة لدفع ثمن المشروب للنادل، ومرة أخرى لسائق التاكسي. بالطبع كان أحدهما هو اللص! أو ربما تمت سرقتها عندما كنت في إجازتك في القطب الجنوبي؟ تلك البطاريق اللعينة! عملية السرقة في كل مرة تدفع فيها كضيف باستخدام بطاقة ائتمان، يضع النادل خمسة عناصر على الطبق بعد خصم المبلغ: 1. بطاقة الائتمان الخاصة بك 2. هويتك الشخصية 3. إيصالك 4. قلم 5. إيصال الحانة لتوقعه أنت تأخذ العناصر رقم 1 و2 و3، ثم تنضم إلى أصدقائك مع جعتك، تاركًا العنصرين 4 و5 على الطبق. أما النادل، الذي يعيش تحت ضغط مستمر، فيواصل عمله لخدمة العملاء الآخرين بينما توقع الإيصال وتغادر. عندما يتجمع لدى طابق الحانة بضعة إيصالات موقعة، يتم جمعها ووضعها في صندوق النقد. وبصفتي ضيفًا ودودًا للغاية، أساعد النادل بجمع البعض منها في “صندوق نقدي” الخاص بي (جيبي). ليس كلها، فأنا كسول بحق، وبالطبع لا أريد تعطيل عمل النادل! أوه نعم، من المرجح أن يثير ذلك بعض الأسئلة أيضًا حول اختفاء جميع الإيصالات. أنت تعرف كم يستحيل جذب انتباه النادل عندما تريد طلب جعة؛ لقد حظيت بنفس القدر من الاهتمام أثناء أخذ الإيصالات. بعد 30 دقيقة، أصبح لدي عشرة منها. لنقل أنني واصلت هذا بمعدل 20 إيصالًا في الساعة لمدة خمس ساعات،这将 يعطينا 100 إيصال. إذن، ماذا يمكنك أن تفعل بـ 100 قطعة ورقية؟ حسنًا، حدث بالصدفة أن هناك معلومات مثيرة للاهتمام عليها يمكن أن تساعدني في الوصول إلى 1,000,000 كرونة. الجانب التقني يحتوي كل إيصال على البيانات التالية: * رقم بطاقة الائتمان الكامل * تاريخ انتهاء صلاحية البطاقة * الاسم أو تاريخ الميلاد الكامل إذن لدينا كل ما نحتاجه لاستخدام بطاقتهم عبر الإنترنت، باستثناء رمز CCV المفقود (الرمز المكون من 3 أرقام على ظهر البطاقة)، مما يجعل هذه الحيلة محفزة لبعض الصعوبة. لحساب رمز CCV، يمكننا استخدام المعادلة التالية: PAN x ED x SC x CVK == CCV * PAN == رقم الحساب الأساسي * ED == تاريخ الانتهاء * SD == رمز الخدمة، ربما “000” لكن المعروف فقط لدى المصدر * CVK == عدد من مفاتيح DES، وهو معروف فقط لدى المصدر * CCV == التحقق من بطاقة الائتمان، رمز مكون من 3 أرقام مطبوع على الظهر لمنع الاحتيال ببساطة، لا يمكننا استخدام أي خوارزمية للحصول على رمز CCV لأننا لا نعرف رموز SD وSVKs. أمان جيد، أنا معجب به! لكن غياب رمز مكون من 3 أرقام فقط لن يوقفنا. باستخدام القوة الغاشمة (bruteforce)، يكون الحد الأقصى للمحاولات 1000، ومتوسطها 500 محاولة لكل بطاقة، وهو ما يحلم به أي هاوٍ مبتدئ (script kiddie). والأسهل من ذلك، يمكننا ببساطة سحب الأموال أو شراء أشياء من أحد المتاجر العديدة عبر الإنترنت التي لا تتطلب رمز CCV (هل سمعتُ الولايات المتحدة؟). لاختبار نظريتي، شرعت في تجربة القوة الغاشمة على بطاقة ائتمان رئيسية. بعد 15 دقيقة، ملأت حسابي في لعبة البوكر بمجرد تجربة 001، 002، 003… تم ذلك يدويًا، لكن كتابة برنامج نصي صغير كان سيستغرق وقتًا مشابهًا لإنشائه وأتمتة العملية لاستغلالها مستقبلاً. ألا كان ينبغي لهذا أن يُفعّل نظام أمان معين؟ هل فعّلتُ شيئًا؟ الأمر لا يهم حقًا، فلقد نجحت في سحب الأموال، لذا فإن أي حماية نبّهت البنك فعلت ذلك متأخرًا جدًا. قبل أن يلاحظ أحد، تكون الأموال قد اختفت منذ زمن طويل. أوه، أيضًا البطاقة لا تزال تعمل وفقًا لصديقي الذي سمح لي باستخدام بطاقته. شكرًا لك T! =) غسل الأموال الخطوة التالية هي تحويل الأموال إلى جيبي، ولن يكون ذلك مشكلة كبيرة، فهناك للأسف plenty من التقنيات المستخدمة على نطاق واسع. الأكثر شيوعًا هو استخدام حسابات بوكر مخترقة، وملؤها بأموال مسروقة، ثم “خسارتها” لحساب مخترق آخر، ثم لآخر… ثم سحب أموالك “القانونية”. قد تربح حتى بعض المال في الطريق على لاعبي البوكر السيئين والحسابات المخترقة التي تحتوي على بعض الأموال. حاول الاتصال بمواقع البوكر وإخبارهم بأن شخصًا ما اخترق حسابك وخسر كل أموالك، بالطبع سيعيدون لك أموالك

P.S. A few readers have asked which marketplace & everyday deals we actually reach for — it's Amazon Associates (Amazon.com); take a look here if you want the current details.