05/03/21
Киберпреступники постоянно изучают новые способы обхода протокола 3D Secure (3DS), используемого для авторизации online-транзакций с использованием кредитных или дебетовых карт. Пользователи подпольных форумов предлагают советы о том, как обойти последний вариант функции безопасности, сочетая социальную инженерию с фишинговыми атаками.
Функция 3DS сильно изменилась в сравнении с первой версией, когда банк запрашивал у пользователя код или пароль для подтверждения транзакции. Во второй версии (3DS 2), разработанной для смартфонов, пользователи могут подтвердить свою покупку, авторизовавшись в банковском приложении с помощью биометрических данных (отпечаток пальца, распознавание лица). Несмотря на расширенные функции безопасности в 3DS 2, первая версия по-прежнему широко используется, предоставляя киберпреступникам возможность использовать свои навыки социальной инженерии, чтобы обманом заставить пользователей дать код или пароль для подтверждения транзакции.
Специалисты компании Gemini Advisory рассказали о некоторых методах, которыми киберпреступники делятся на форумах в даркнете, чтобы совершать мошеннические покупки в интернет-магазинах с поддержкой 3DS. Все начинается с получения доступа к полной информации о владельце карты, включая имя, номер телефона, адрес электронной почты, физический адрес, девичью фамилию матери, идентификационный номер и номер водительских прав. Киберпреступники используют эти данные, чтобы выдать себя за сотрудника банка, звонящего клиенту для подтверждения личности. С помощью полученной личной информации они завоевывают доверие жертвы и запрашивают ее пароль или код для завершения процесса.
Та же тактика может работать с более поздними версиями 3DS и делать покупки в режиме реального времени. Используя полную информацию о держателе карты, устройство смены голоса и приложение для подделки телефонного номера, мошенник может инициировать покупку на сайте, а затем позвонить жертве, чтобы получить необходимую информацию.
«На последнем этапе хакер сообщает жертве, что она получит код подтверждения для окончательной проверки личности, после чего киберпреступник оформляет заказ в магазине. Когда будет предложено ввести проверочный код, который был отправлен на телефон жертвы, мошенник сможет получить его от жертвы», — пояснили эксперты.
Получить код 3DS можно и другим способом, таким как фишинг. Когда жертва совершает покупку на фишинговом сайте, преступники передают все данные в легитимный магазин, чтобы получить свой продукт. По словам экспертов, некоторые киберпреступники также добавляют данные украденных кредитных карт в учетную запись PayPal и используют их в качестве способа оплаты.
Другой метод является «классическим» и включает в себя взлом телефона жертвы с помощью вредоносного ПО, которое может перехватить код безопасности и передать его мошеннику. Кроме того, многие магазины не запрашивают код 3DS, когда сумма транзакции ниже определенного лимита, что позволяет мошенникам совершать несколько небольших покупок.
