Спадок Гонсалеса: як зараз хакери ламають банківські картки
У 2005 році отримав двадцять років в’язниці уродженець Куби Альберт Гонсалес , який зламав 170 мільйонів банківських карток та банкоматів. Цей рекорд поки що не вдалося побити жодному хакеру, але це не означає, що ремесло Гонсалеса занепадає. У цій статті ми розповімо про нові способи злому банківських карток.
1. Злом Magento
Півтора роки тому невідомі хакери зламали майже 2000 електронних магазинів, використовуючи вразливість платформи Magento ver. 1. x. Зловмисники вбудовували в код php-скрипт, який крав дані карт користувачів. Компанія Adobe, розробник платформи, справедливо зауважила, що вже кілька місяців умовляє власників торгових майданчиків переходити на нову версію програмного забезпечення, а Magento 1.x вже кілька тижнів не підтримується.
2. Вразливості платіжних систем
Невідомі зловмисники зламували банківські картки за допомогою двох смартфонів та спеціального ПЗ, що використовувало вразливість платіжних технологій Visa. При цьому один із гаджетів видавав себе за PoS-термінал, а інший – за картку.
Поки програмісти Maestro і Mastercard сміялися з невдачі колег з VISA, аналогічному злому зазнали вже їхні банківські картки. Використовувалась та сама схема – два смартфони плюс додаток. І нехай програма задіяла зовсім інші вразливості, результат виявився тим самим. Але «дірки» у безпеці платіжних систем залатали дуже швидко.
3. Злом через Google Apps Script
Неофіційний девіз Google Don’t be evil! («Не будь злом!») протримався майже двадцять років. Але також минулого року хакери, що залишилися невідомими, використовували для крадіжки платіжних даних платформу Google Apps Script. Для впровадження шкідливого коду на JS зловмисники використали той факт, що захисні механізми інтернет-ресурсів сприймають будь-які піддомени Google як довірені сайти.
Перебуваючи на веб-сторінках магазину, «зловред» перехоплював платіжну інформацію та надсилав її додатку на платформі script.google.com. А вже звідти дані пересилалися на сайт, що належав хакерам.