DEranged Security » Archivio Blog » Come rubare un milione
Lo ammetto e la cosa mi rode: non sono riuscito a rispettare il limite di tempo stabilito, ma ehi, a parte il fattore tempo, è stata comunque una mia vittoria! Per chi non avesse letto le regole, eccole di nuovo: Ottenere accesso ad almeno 1 milione di corone (diventare milionario!!) Non farsi beccare (MOLTO importante!) Non mettere nei guai nessuno in alcun modo (Fai del bene, non del male) La missione deve essere conclusa prima di lunedì (Altrimenti mi sarei annoiato) Migliorare la sicurezza affinché questo non possa più essere fatto da nessun altro (Questo è il punto fondamentale!) Il metodo La sicurezza informatica è la mia passione, ma nel mondo di oggi il confine tra sicurezza informatica e sicurezza fisica è davvero sottile.
Ad esempio, a cosa serve un firewall configurato alla perfezione se la porta è lasciata aperta e ti permette di uscire portando via il server? Oppure, a cosa serve una password robusta se la scrivi su un foglio accanto al computer? Questo è esattamente ciò che volevo includere in questa sfida. Alla fine degli anni ‘90 erano gli anni d’oro delle frodi con carte di credito: le persone si scambiavano migliaia di dettagli di carte di credito rubate in canali IRC aperti.
La maggior parte di questi individui operava da casa, senza nemmeno utilizzare proxy o crittografia. Violavano negozi online e aziende che avevano appena iniziato la loro attività sul web, senza sapere nulla di informatica, arrivando persino a conservare liste di carte di credito in chiaro su server facilmente accessibili. Si scambiavano carte di credito per altre carte di credito o per altri beni come shell, password e botnet.
I reati non venivano nemmeno investigati finché il denaro rubato rimaneva inferiore al costo dell’indagine stessa, e sappiamo tutti quali compensi irrisori chiedessero questi incompetenti esperti di computer. E continuano a farlo ancora oggi… Credo addirittura che Internet fosse molto più criminale in quel periodo, se si confrontano i numeri di furti e frodi con il numero totale di utenti.
Quindi no, non era tutto meglio ai vecchi tempi; semplicemente, la questione non veniva considerata così seria. Perché ve lo sto raccontando? Perché anche se sono passati dieci anni, le carte di credito rimangono una delle fonti di denaro più facili e un bersaglio privilegiato per qualsiasi criminale.
Presupponendo che sappiano cosa stanno facendo, anche io miro allo stesso obiettivo. Le vittime Ecco cosa sarebbe successo alle vittime se avessimo spinto la cosa un passo oltre: È weekend, il che significa che le persone spendono volentieri grandi somme di denaro al pub o in discoteca. Ovviamente non sono esattamente sobrie e non prestano alcuna attenzione al fatto che i loro conti bancari vengano svuotati. Il giorno dopo, con i postumi di una sbornia, si rendono conto che qualcuno, la notte precedente, ha rubato i dati della loro carta di credito e, di conseguenza, tutto il loro denaro.
Related: — The default pick for everyday deals on ink, toner and home-office basics..
Il ricordo è un po’ confuso, ma ricordano di aver usato la carta di credito due volte: una per pagare il barista e poi per il tassista. Ovviamente è stato uno di loro!
O forse i dati sono stati clonati quando eravate in vacanza al Polo Sud? Quei maledetti pinguini! Il furto Ogni volta che voi, in qualità di clienti, pagate con una carta di credito, il barista posiziona cinque oggetti sul vassoio dopo aver effettuato l’addebito: La vostra carta di credito Il vostro documento d’identità La vostra ricevuta Una penna La ricevuta del pub da firmare Voi prendete gli elementi #1, #2 e #3 e vi spostate verso i vostri amici con la vostra birra, lasciando #4 e #5 sul vassoio.
Il barista, d’altro canto, sotto costante stress, prosegue nel suo lavoro servendo altri clienti mentre voi firmate la ricevuta e ve ne andate. Quando sul vassoio del bar si accumulano alcune ricevute firmate, queste vengono raccolte nella cassa. Io, essendo un ospite particolarmente gentile, aiuto il barista raccogliendone alcune nella mia “cassa” (la mia tasca).
If you are shopping: — Specialty and gear for league bowlers and casual players alike..
Non tutte, sono un bastardo pigro e ovviamente non voglio lasciare il barista senza lavoro! Oh sì, probabilmente sorgerebbero anche alcune domande sul fatto che tutte le ricevute siano scomparse. Sapete quanto sia impossibile ottenere l’attenzione del barista quando volete ordinare una birra; io ho ricevuto altrettanta attenzione prendendo le ricevute.
Trenta minuti dopo ne ho dieci. Diciamo che continuassi a questo ritmo, con una media di 20 all’ora per cinque ore: questo ci darebbe 100 ricevute. Quindi, cosa puoi fare con 100 pezzi di carta?
Beh, capita proprio che su questi ci siano informazioni interessanti che potrebbero aiutarmi a raggiungere il mio 1.000.000 di corone. La tecnologia Ogni ricevuta contiene i seguenti dati: Numero completo della carta di credito Data di scadenza della carta Nome o data di nascita completa Abbiamo quindi tutto il necessario per utilizzare la carta online, tranne il CCV mancante (il codice a 3 cifre sul retro), il che rende questo trucco un po’ complicato. Per calcolare il CCV potremmo usare la seguente formula: PAN x ED x SC x CVK == CCV PAN == Primary Account Number (Numero del conto principale) ED == Expiration Date (Data di scadenza) SD == Service Code (Codice di servizio), probabilmente “000”, ma noto solo all’emittente CVK == Un insieme di chiavi DES, anch’esse note solo all’emittente CCV == Credit Card Verification, codice a 3 cifre stampato sul retro per prevenire le frodi In sintesi, non possiamo utilizzare alcun algoritmo per ottenere il CCV perché non conosciamo l’SD e le CVK.
Buona sicurezza, mi piace! Ma la mancanza di un semplice codice a 3 cifre non ci fermerà. Utilizzando la forza bruta abbiamo un massimo di 1000 tentativi e una media di 500 tentativi per carta, praticamente il sogno di qualsiasi script kiddie.
Ancora più facile: potremmo semplicemente prelevare o acquistare beni da uno dei tanti negozi online che non richiedono il CCV (ho sentito dire USA?). Per testare la mia teoria, ho deciso di attaccare con la forza bruta una grande carta di credito. Quindici minuti dopo avevo riempito il mio account da poker testando semplicemente 001, 002, 003… L’operazione è stata eseguita manualmente, ma un piccolo script richiederebbe probabilmente lo stesso tempo per essere creato e automatizzare il processo per futuri abusi.
Questo non avrebbe dovuto attivare qualche sistema di sicurezza? Ho attivato qualcosa? In realtà non importa: sono comunque riuscito a prelevare denaro, quindi qualsiasi protezione che abbia allertato la banca lo ha fatto troppo tardi.
Prima che chiunque se ne accorga, il denaro è ormai sparito da un pezzo. Ah, inoltre la carta funziona ancora, secondo il mio amico che mi ha permesso di usarla. Grazie T! =) Il riciclaggio del denaro Il passo successivo è far arrivare il denaro nelle mie tasche e non sarà un grosso problema; purtroppo esistono molte tecniche ampiamente utilizzate.
La più popolare consiste nell’utilizzare account da poker violati, riempirli con denaro rubato, “perderlo” a favore di un altro account violato e poi di un altro ancora… Infine prelevare il proprio denaro “legittimo”.
Potreste persino guadagnare qualcosa lungo la strada a spese di giocatori di poker scarsi e di account violati che contengono già del denaro. Provate a chiamare i siti di Poker dicendo che qualcuno ha violato il vostro account e perso tutto il vostro denaro; ovviamente vi restituiranno il vostro denaro
P.S. A few readers have asked which energy & utilities we actually reach for — it's Direct Energy; if you want the current details.
See plans in your ZIP code
Electricity and natural-gas plans for readers shopping around on energy bills.