как подобрать cvv код к банковской карте
Безопасная платежная карта своими руками
Для оплаты товаров или услуг через интернет платежная карточка не требуется. Достаточно знать всего-навсего три группы цифр (16+4+3):
— номер карты (16 цифр);
— срок действия: месяц и год (4 цифры);
— секретный CVV2 код (3 цифры на обратной стороне).
Если карточка попадает в руки жуликов, переписать указанные 23 цифры можно за считанные секунды. Не говоря уже о ситуации физической утери, от которой не застрахован никто.
Поэтому делюсь своей практикой: от греха подальше CVV2 код с карт Visa и Master стирать. Лучше ножницами. Предварительно, конечно, где-то его продублировав. А для удобства оплаты счетов в интернете написать ключ от кода фломастером (маркером) прямо на карточке.
Защищенная карточка (после манипуляций).
Восстановить CVV2 код легко. Составляем нехитрую формулу типа «плюс 4, 0, 4». Забиваем ее себе в память, а когда возникает надобность, быстренько прибавляем цифры формулы к цифрам ключа.
Например:
1) Ключ, написанный фломастером, – 575.
2) Формула восстановления: +4, 0, 4.
3) Вычисляем:
5 + 4 = 9;
7 + 0 = 7;
5 + 4 =9.
Итого: CVV2 код – 979.
Так всего за 5 секунд получаем заветное число, и никакого риска для «кармана».
Незащищенная карточка (до манипуляций).
Безопасных вам платежей!
UPD. Если карта у вас одна, то это предложение не актуально. Если карт много, то проще запомнить один пароль, чем много CVV кодов.
UPD2.
Disclaimer. Юридически карта без CVV может быть признана недействительной. Практически в РФ и Украине это вряд ли произойдет, но в ЕС и США возможно.
Указанная схема всего лишь увеличивает шансы обезопасить от оффлайн компрометации CVV. Она не отменяет обязательные способы снижения рисков другими способами:
— выпуск виртуальных карт;
— установление ежедневного лимита;
и т.д.
Могут ли мошенники подобрать мой CVV, зная номер карты?
Если злоумышленникам в руки попадает номер карты и ФИО ее владельца, то им остается вычислить только срок ее действия и CVV-код. Вроде, и не так сложно, но и не так легко, ведь перебрать нужно довольно много вариантов. Разберемся, насколько это реально, а так же что делать, если это все-таки случилось.
Схема мошенников по подбору CVV и срока действия
Итак, как же мошенники подбирают ваш СVV? Для этого они заходят на сайты любых интернет-магазинов и вводят данные, пытаясь подобрать числа, а затем осуществляют покупку.
Схема выглядит следующим образом:
В том, что такой вид мошенничества снова стал популярным, отчасти виноваты сами интернет-магазины. В условиях пандемии, когда поток заказов увеличился в десятки раз, многие из них отключают опцию проверки CVV-кода и смс-подтверждение операции (система 3D-Secure), чтобы ускорить свою работу. Кроме того, вина может лежать и на банке, если именно он при попытке списания средств не задействовал двухфакторную аутентификацию.
Что делать, если средства ушли?
Первым делом заблокируйте карту. Сделать это можно по телефону горячей линии или через онлайн-банкинг. Обязательно сообщите сотруднику банка о краже денег. Затем отправляйтесь в отделение и напишите там заявление о своем несогласии с проведенной операцией.
Все это нужно сделать не позднее следующего дня после получения уведомления о снятии или переводе средств, которые были осуществлены не вами. Если не успеете – можете получить от банка отказ. После проведения служебного расследования с привлечением платежной системы с вами свяжется представитель банка и сообщит о принятом решении.
По закону банки обязуются уведомлять своих клиентов обо всех операциях с использованием электронного средства платежа. Поэтому, если злоумышленники украли ваши деньги, а вы о переводе или снятии не были проинформированы, то банк обязан возместить нанесенный ущерб в полном объеме, даже если вы обнаружили кражу не сразу, а через несколько месяцев после ее совершения. В случае отказа банка компенсировать незаконно списанные средства можно обращаться в суд.
Как уберечься
Несколько советов по профилактике мошенничества:
Помните, что проблему всегда легче предупредить. Поэтому, чтобы не стать жертвой мошенников, не разглашайте данные своих карт и внимательно читайте все сообщения, которые присылает вам ваш банк.
Нет времени объяснять, блокируй карту! Четыре способа снять ваши деньги без подтверждения по СМС
Треть россиян в возрасте до 25 лет постоянно пользуются бесконтактными платежами, а 2% граждан страны вообще отказались от наличных, свидетельствуют данные «Левада-центра». Картой удобно расплачиваться в продуктовых и в транспорте, ее можно привязать к медиасервисам и такси, запланировать платежи по коммуналке. Но есть и оборотная сторона медали. О ней 66.RU рассказал Артем Трофимов, специалист по безопасности карт в банке для предпринимателей «Точка».
Как могут украсть деньги?
В банковской сфере есть понятие «скомпрометированная карта». Это карта, полный номер которой, код CVV2 или CVC2 и другие данные стали общедоступны или попали в руки мошенников. Этих данных может быть достаточно, чтобы банк предоставил доступ к вашим деньгам. Узнать о том, что карта скомпрометирована, практически невозможно, пока ею не воспользовались без вашего ведома.
Как это может произойти? Если мошенник знает номер карты и CVV2 или CVC2, он способен совершать операции в интернет-сервисах, которые не поддерживают или намеренно не используют технологию 3D-Secure. Проще говоря, не отправляют вам одноразовый пароль, чтобы подтвердить, что покупку оплачивает именно владелец карты, а не кто-то другой.
Проверять ли личность покупателя с помощью 3D-Secure или нет, решает онлайн-продавец, а не банк, выпустивший карту. Некоторые компании осознанно проводят часть операций без этой технологии, чтобы упростить покупки для клиентов.
Интернет-магазин AliExpress сознательно отказался от 3D-Secure. Первые несколько операций там будут подтверждаться одноразовым кодом. Когда в магазине убедятся, что учетная запись не мошенническая, вам позволят совершать сделки без 3D-Secure, чтобы покупатель не делал лишних движений и не передумал после того, как ему придет СМС с паролем для подтверждения операции. Таким образом, в AliExpress самостоятельно решают, когда использовать 3D-Secure, а когда нет.
AliExpress — лишь пример того, как можно оплачивать покупки без 3D-Secure, а не место, где реально воруют. Через него практически не крадут деньги.
Агрегаторы Uber и «Яндекс.Такси» тоже не используют 3D-Secure. Мы в «Точке» не видим всплеска мошенничества в Uber, по-моему, это разовые случаи в других банках. Схема, с помощью которой мошенники выводят деньги через сервис, может быть такой. Воры привязывают украденные реквизиты — номер карты и код к ней — к профилю пассажира. Затем создают виртуальный профиль таксиста и «оплачивают» его услуги украденной картой, то есть имитируют поездки, а потом получают возмещение реальными деньгами.
Мошенники крадут деньги у клиентов банков через Uber. Под угрозой счета даже тех, кто не пользуется такси
Примеры с «Хабр»:
Мошенники хотят получить деньги с карты, а не расплачиваться за услуги с помощью украденных данных. Тем более, Booking.com и Airbnb потребуют для такой оплаты документ, удостоверяющий личность. Поэтому найти того, кто жил за чужой счет, не составит труда.
Как защитить данные?
Бережно относиться к реквизитам карт и стараться не компрометировать их. Во-первых, пользуйтесь бесконтактной оплатой через Apple Pay, Google Pay, Samsung Pay и другие сервисы. Они меняют реквизиты пластиковой карты на виртуальные — токен. Токены помогают уберечь реквизиты от третьих лиц. Даже если информацию токена узнают, она будет бесполезна, потому что в каждой транзакции используются зашифрованные динамические данные. Не за горами использование таких же токенов и при оплатах в интернете по технологии EMV® Secure Remote Commerce.
Если вы подозреваете, что карта скомпрометирована, сразу блокируйте ее с помощью звонка или письма в банк. После этого никто не сможет потратить деньги со счета, даже зная пин-код, CVV2 и другие данные.
Что делать, если деньги украли?
Срочно сообщите об этом банку. Тогда вы с большой вероятностью сможете опротестовать мошеннические операции, особенно когда 3D-Secure не использовался. Это плюс карт по сравнению с наличными, которые воры вам вряд ли вернут.
Даже если оспорить покупку или перевод не выйдет, есть возможность заморозить ваши деньги на счетах мошенников, чтобы впоследствии вернуть их по требованию правоохранителей.
Редакция 66.RU благодарит банк для предпринимателей «Точка» за помощь в подготовке материала.
Visa оказалась уязвима к подбору CVV-кода
Serial Experiments Lain / Pioneer LDC
Исследователи из Ньюкаслского университета обнаружили, что с помощью распределенного перебора разных значений можно за несколько секунд подобрать действующие параметры карты платежной сети Visa. Статья отправлена в IEEE Security & Privacy, препринт доступен на сайте университета.
Многие современные интернет-магазины при совершении платежа с помощью банковской карты кроме традиционных данных (номер карты, имя держателя и срок действия) также в целях безопасности запрашивают код проверки подлинности CVV/CVC, отпечатанный на обратной стороне — таким образом, злоумышленник, завладевший остальными данными карты, не может совершить платеж. Новая работа британских специалистов по информационной безопасности показывает, что трехзначный CVV-код карты платежной системы Visa можно получить прямым перебором с помощью распределенных запросов.
Авторы взяли данные о топ-400 онлайн-магазинах по рейтингу сервиса Alexa, принадлежащего Amazon. Из полученного массива исследователи убрали наиболее защищенные магазины, которые не позволили им получить данные, в результате чего список сократился до 389 сайтов. С помощью фреймворка Selenium авторы создали бота для Mozilla Firefox, который использовал доступный список сайтов для большого количества одновременно рассылаемых запросов на проведение транзакции с разными параметрами карты — фактически, таким образом разработчики реализовали распределенный прямой перебор.
В результате проведенных экспериментов авторы выяснили, что 291 сайт из 389 проверенных требовал ввода минимальной информации всего в трех полях: номер карты, срок действия и CVV, а 26 магазинов даже не запрашивали CVV-код и требовали заполнения всего двух полей. Остальные сайты оказались более защищенными: 25 использовали четвертое поле для запроса почтового индекса, а оставшиеся 47 использовали технологию дополнительной защиты 3-D Secure.
Исследователи обнаружили, что распределенный брутфорс позволяет за считанные секунды подобрать не только CVV-код карты платежной системы Visa, но и, например, срок действия. Таким образом, злоумышленник может только при наличии номера карты подобрать остальные параметры за несколько секунд. При этом платежная система Visa во время проведенных экспериментов никак не реагировала на многократные запросы с разных сайтов, содержащие неправильные данные. По словам авторов, платежная система Mastercard в аналогичной ситуации определяет атаку перебором меньше, чем за десять попыток запросов с разных сайтов.
Перед публикацией исследования авторы уведомили представителей Visa, однако компания прокомментировала обнаруженную уязвимость следующим образом: «Исследование не учитывает многоуровневую защиту от мошенничества, которая работает в платежной системе и препятствует проведению несанкционированных транзакций в реальном мире». Необходимо отметить, что представители Visa не опровергли возможность подбора данных, а также не уточнили, как именно происходит защита от мошеннических транзакций — возможно, речь идет о технологии 3-D Secure, однако данные авторов исследования показали, что многие сайты не используют этот инструмент.
Ранее британская компания Intelligent Environments разработала технологию применения смайликов вместо цифр в качестве пин-кода для доступа к банковским системам. Это позволяет использовать 3498308 разных комбинаций эмодзи в качестве пин-кода, в то время как число комбинаций из четырех неповторяющихся цифр всего 7290 — таким образом, использование смайликов оправдано с точки зрения безопасности.
Хакеры научились подбирать CVV-код карты за 6 секунд
Мошенникам необходимо 6 секунд, чтобы подобрать номер карты, определить ее срок действия, а также CVV-код от кредитной или дебетовой карты Visa. Об этом пишет информационное агентство «Телеграф».
Исследователи из Университета Ньюкасла в Великобритании пришли к выводу, что пользователи карт Visa подвержены атакам хакеров в наибольшей мере.
Проблема заключается в «распределенном переборе», который, по некоторым предположениям, использовался при недавних атаках на британский Теско банк.
Исследования показали, что платежная система Visa не отвечает на неудачные попытки при вводе данных во время покупок в интернете. Мошенники начинают закидывать систему большим количеством запросов, а после одного угаданного поля по цепочке подбирают следующие. Первые 6 цифр номера банковской карты несут в себе информацию о принадлежности тому или иному банку. Срок действия карты составляет 60 месяцев, чтобы перебрать все комбинации защитного трехзначного кода необходимо 999 попыток.
Однако представители Visa считают, что ученые в своем исследовании забыли учесть систему защиты карт от мошенников, которая является многоуровневой.
При этом на портале сообщается, что «у MasterCard есть централизованная сеть, способная обнаружить атаку подбором после 10 попыток, даже если атака распределена по разным сайтам. Visa такой защитой не обладает».
Мнение экспертов
По данным аналитиков за первое полугодие 2016 года хакерам удалось похитить с банковских карт россиян 270 000 000 рублей. Эксперт по кибербезопасности Анатолий Болотов отмечает:
«Хакеры активно используют схемы, в которых используется «социальная инженерия», позволяющая получить доступ к счетам граждан».