NEWCASTLE, BRATISLAVA. Ak chcete zaplatiť platobnou kartou cez internet, potrebujete vedieť jej číslo, mesiac expirácie a trojmiestny kontrolný kód, ktorý je napísaný na jej rubovej strane. Na prvý pohľad tento proces vyzerá bezpečne.
Hackerom však nemusí trvať dlhšie ako pár sekúnd, aby našli správne kombinácie týchto údajov. O tom, že čísla kariet sú tvorené predpísaným algoritmom niet pochýb. Už desaťročia sa dajú nájsť jednoduché generátory, ktoré z jediného čísla karty vygenerujú postupnosť ďalších. Je to rovnako jednoduché ako pri rodných číslach.
I keby ste zo známeho čísla preniesli mesiac expirácie na ďalšie, chýba vám kontrolný kód. Vďaka internetu a veľkému množstvu online predajcov však možno tisícku kombinácií preveriť bez čakania. Stačí odoslať platobnú požiadavku na pár stoviek serverov, vždy s iným kontrolným kódom.
Práve takýmto spôsobom podľa denníka The Guardian uskutočnili hackeri útok na klientov anglickej Tesco Banky, pri ktorom spôsobili finančné škody vo výške 2,5 milióna libier. Vina spočíva na firme Visa, ktorá platobné karty vydala. Keďže transakčné systémy narozdiel od bankomatov nekontrolujú počet neúspešných transakcií, hackerom vždy stačilo vyskúšať ich iba pár stoviek.
Hackeri vyberajú hotovosť z bankomatov, riadia ich na diaľku Čítajte Vo chvíli, keď prvá drobná transakcia prešla, ku karte získali všetky potrebné údaje pre internetové nakupovanie. Hoci mali karty dve úrovne doplnkového zabezpečenia, nestačili na to, aby peniaze klientov ochránili.
Hackeri preto nemuseli mať databázu o kartách, ktorú by vopred ukradli zo serverov. To, že sa sústredili na jedinú banku, môže byť náhoda. Bezpečnostní analytici, ktorí na spôsob útoku upozornili pri svojich experimentoch, využili internetové a softvérové nástroje, ako aj jednoduchý webový bot, ktorý skúšobné transakcie u plejády obchodníkov uskutočňoval. Pre túto službu využili obchodné služby 400 najväčších internetových predajcov, vrátane Google, Amazonu, iTunes či PayPalu.
Aj keby hackeri museli hádať aj informácie o expirácii karty, počet pokusných nákupov by nemusel byť neprimerane vysoký. Banky vydávajú podľa nepísaného pravidla karty na 60 mesiacov, čo prináša 60 možných kombinácií. Kombinačné navýšenie na tisícku možností CVV kódu nie je extrémne vysoké.
MasterCard podľa aktuálnych informácií podobné problémy nemá. Prevádzkuje zúčtovací systém, ktorý zamietnuté transakcie sleduje a počíta. Monitoruje pri tom všetky transakčné siete, aby zneužívaniu kariet zabránil.
