DEranged Security » Archives du blog » Comment voler un million

» Archives du blog » Comment voler un million Comment voler un million 29 octobre 2007 par admin | Publié dans DEranged Security | Vous souvenez-vous de ce défi que je m’étais lancé : voler un million de couronnes suédoises (150 000 $) et devenir millionnaire en un week-end ? Non, je n’ai pas réussi. Choisir la méthode, régler les aspects juridiques et discuter avec toutes les parties prenantes a pris trop de temps. Je l’admets et cela me contrarie : je n’ai pas tenu les délais impartis. Mais bon, à part le facteur temps, c’est une victoire pour moi ! Pour ceux qui n’ont pas lu les règles, les voici à nouveau : * Accéder à au moins 1 million de couronnes (devenir millionnaire !!) * Ne pas se faire prendre (TRÈS important !) * Ne mettre personne en danger d’aucune façon (Faire le bien, pas le mal) * La mission doit être terminée avant lundi (Au-delà, je m’ennuierais) * Améliorer la sécurité pour que cela ne puisse plus être reproduit par quiconque (C’est tout l’enjeu !) La méthode La sécurité informatique est ma passion, mais aujourd’hui, la frontière entre la sécurité informatique et la sécurité physique est extrêmement ténue. Par exemple, à quoi bon un pare-feu parfaitement configuré si la porte reste déverrouillée, permettant à quelqu’un de sortir avec le serveur ? Ou quelle utilité a un mot de passe robuste si vous le notez à côté de votre ordinateur ? C’est précisément cet aspect que je voulais intégrer à ce défi. À la fin des années 90, c’était l’âge d’or de la fraude par carte de crédit : des milliers de détails de cartes volées s’échangeaient sur des canaux IRC ouverts. La plupart de ces individus opéraient depuis leur domicile, sans même utiliser de proxys ni de chiffrement. Ils pirataient des boutiques en ligne et des entreprises venant tout juste de se lancer sur Internet, qui ne connaissaient rien à l’informatique et conservaient même des listes de cartes de crédit en clair sur des serveurs facilement accessibles. Ces personnes échangeaient des cartes de crédit contre d’autres cartes, ou contre d’autres biens tels que des shells, des mots de passe et des botnets. Les crimes n’étaient même pas enquêtés tant que le montant volé restait inférieur au coût de l’enquête, et nous savons tous quels salaires irréalistes facturaient ces informaticiens incompétents. Et ils le font encore aujourd’hui… Je suis même convaincu qu’Internet connaissait bien plus de criminalité à cette époque si l’on compare le nombre de vols et de fraudes au nombre d’utilisateurs. Alors non, tout n’était pas mieux avant ; c’est simplement que ces actes n’étaient pas considérés comme graves. Pourquoi vous raconter tout cela ? Parce que même si cela remonte à dix ans, les cartes de crédit restent l’une des sources d’argent les plus faciles et une cible privilégiée pour tout criminel. En supposant qu’ils sachent ce qu’ils font, je vise la même chose. Les victimes Voici ce qui serait arrivé aux victimes si nous avions poussé le scénario un peu plus loin : C’est le week-end, donc les gens dépensent volontiers beaucoup d’argent au pub ou en boîte de nuit. Évidemment, ils ne sont pas tout à fait sobres et ne prêtent aucune attention au pillage de leurs comptes bancaires. Le lendemain, la gueule de bois aidant, ils réalisent que quelqu’un a volé leurs informations de carte de crédit durant la nuit, et avec elles, tout leur argent. Leur mémoire est un peu floue, mais ils se souviennent avoir utilisé leur carte deux fois : une fois pour payer le barman, puis une autre pour le chauffeur de taxi. Bien sûr, c’était l’un d’eux ! Ou peut-être que la carte a été skimmée pendant vos vacances au pôle Sud ? Satanas de pingouins ! Le vol Chaque fois que vous, en tant que client, payez par carte de crédit, le barman place cinq éléments sur le plateau après avoir effectué la transaction : 1. Votre carte de crédit 2. Votre pièce d’identité 3. Votre reçu 4. Un stylo 5. Le reçu du pub à signer Vous prenez les éléments n°1, n°2 et n°3, puis vous rejoignez vos amis avec votre bière, en laissant les éléments n°4 et n°5 sur le plateau. Le barman, quant à lui, constamment sous pression, poursuit son travail pour servir d’autres clients pendant que vous signez le reçu et partez. Lorsque le plateau du bar contient quelques reçus signés, ils sont rassemblés dans la caisse. Moi, en client particulièrement serviable, j’aide le barman en récupérant quelques reçus pour les mettre dans ma propre caisse (ma poche). Pas tous, bien sûr : je suis un fainéant et je ne veux surtout pas priver le barman de son travail ! Oh oui, cela soulèvera probablement des questions si tous les reçus disparaissent. Vous savez combien il est impossible d’attirer l’attention du barman quand on veut commander une bière ; j’ai obtenu exactement la même attention en prenant les reçus. Trente minutes plus tard, j’en ai dix. Disons que je continue à ce rythme, avec une moyenne de 20 reçus par heure pendant cinq heures, cela nous donnerait 100 reçus. Alors, que peut-on faire avec 100 morceaux de papier ? Eh bien, il se trouve qu’ils contiennent des informations très intéressantes qui pourraient m’aider à atteindre mon objectif de 1 000 000 de couronnes. La technique Chaque reçu contient les données suivantes : * Le numéro complet de la carte de crédit * La date d’expiration de la carte * Le nom ou la date de naissance complète Nous disposons donc de tout le nécessaire pour utiliser leur carte en ligne, à l’exception du code CCV manquant (le code à 3 chiffres au dos), ce qui complique légèrement l’opération. Pour calculer le CCV, on pourrait utiliser la formule suivante : PAN x ED x SC x CVK == CCV * PAN == Numéro de compte principal * ED == Date d’expiration * SD == Code de service, probablement « 000 », mais connu uniquement par l’émetteur * CVK == Un ensemble de clés DES, également connu uniquement par l’émetteur * CCV == Vérification de la carte de crédit, code à 3 chiffres imprimé au dos pour prévenir la fraude En termes simples, nous ne pouvons utiliser aucun algorithme pour obtenir le CCV car nous ignorons le SD et les CVK. Bonne sécurité, j’apprécie ! Mais l’absence d’un simple code à 3 chiffres ne va pas nous arrêter. Par force brute, nous avons un maximum de 1 000 tentatives et une moyenne de 500 essais par carte : pratiquement le rêve de n’importe quel script kiddie. Encore plus simple, nous pourrions simplement retirer de l’argent ou acheter des produits auprès de l’une des nombreuses boutiques en ligne qui n’exigent pas de CCV (Ai-je entendu parler des États-Unis ?). Pour tester ma théorie, je me suis lancé dans une attaque par force brute sur une carte de crédit majeure. Quinze minutes plus tard, j’avais rempli mon compte de poker simplement en testant 001, 002, 003… Cela a été fait manuellement, mais un petit script aurait probablement pris autant de temps à créer et aurait permis d’automatiser le processus pour un usage futur. Cela n’aurait-il pas dû déclencher un système de sécurité ? Ai-je déclenché quelque chose ? Peu importe, j’ai quand même réussi à retirer de l’argent, donc toute protection ayant alerté la banque l’a fait trop tard. Avant que quiconque ne s’en aperçoive, l’argent aura disparu depuis longtemps. Ah, et la carte fonctionne toujours, selon mon ami qui m’a permis d’utiliser la sienne. Merci T ! =) Le blanchiment d’argent L’étape suivante consiste à mettre cet argent dans ma poche, ce qui ne posera pas vraiment de problème : il existe malheureusement de nombreuses techniques largement utilisées. La plus populaire consiste à utiliser des comptes de poker piratés, à les remplir avec de l’argent volé, à « perdre » cet argent vers un autre compte piraté, puis vers un autre… Ensuite, vous retirez votre argent « légitime ». Vous pourriez même gagner de l’argent au passage grâce à de mauvais joueurs de poker et à des comptes piratés contenant déjà des fonds. Essayez d’appeler les sites de poker pour leur dire que quelqu’un a piraté votre compte et perdu tout votre argent : bien sûr, ils vont vous rendre votre argent.