Visa, Master Card, AMEX piratejat? 4 milions de números de targetes en venda a la web fosca

Tots sabem que seria un desastre si un lladre tingués les mans sobre la informació de la vostra targeta de pagament. Però les teves dades estan segures sempre que sàpigues que la teva targeta o les dades de la teva targeta no t'han robat, oi? Mal.

L'anàlisi de 4 milions de dades de targetes de crèdit, dèbit o pagament es troba a la web fosca. Un nou estudi ho explica.

No només hi ha una manera de descobrir números de targetes de pagament sense entrar en una base de dades, sinó que també hi ha un mercat negre subterrani en auge per a ells. Aquestes xifres es venen per milions. Fins i tot sabem el cost mitjà: uns 10 dòlars per targeta.

NordVPN va analitzar les dades estadístiques recollides per investigadors independents especialitzats en la investigació d'incidents de ciberseguretat dels mercats on es venen números de targetes de pagament. Aquí teniu el que hem après.

Els investigadors independents van descobrir muntanyes de dades a la web fosca que van ajudar a traçar l'abast estadístic de la pirateria en línia de detalls de targetes de pagament. Els registres van revelar quins tipus de dades de targetes es venen més a diferents països i el cost mitjà de les dades de les targetes de diferents països. Això ens va permetre assignar índexs de risc a cada país cobert per les dades. Com es classifica el teu país?

Aquestes són algunes de les conclusions clau dels investigadors, a més de les dades:

• Les dades mitjanes d'una targeta de pagament piratejada costen menys de 10 dòlars, i els pirates informàtics en tenen milions a punt per vendre;
• Les targetes Visa eren les més habituals, seguides de Mastercard i American Express.
• Les targetes de dèbit eren més comunes que les targetes de crèdit als mercats enquestats pels investigadors independents. Les targetes de dèbit piratejades posen un risc més gran a les seves víctimes perquè acostumen a haver-hi menys proteccions per al dèbit.
• Els investigadors independents van trobar 1,561,739 conjunts de detalls de targetes a la venda a la web fosca dels EUA durant la seva investigació. Això era molt més que en qualsevol altre lloc. Però això no vol dir necessàriament que la gent dels EUA estigui més en risc. Turquia, per exemple, tenia menys de la meitat de les targetes per càpita que tenen els EUA, però l'elevada proporció de targetes no reemborsables dóna a Turquia un índex de risc més alt;
• L'índex de risc es basa en una targeta per persona, de manera que com més cartes tinguis, més probabilitats hi ha que una d'elles pugui ser piratejada! Això és especialment un problema als EUA, on hi ha més targetes en circulació per persona, però també és una cosa que els europeus han de tenir en compte.

Robatori sense robatori? S'ha explicat el forçament brut

Les infraccions de la base de dades ja no són l'única manera d'obtenir els detalls de les targetes de pagament piratejats. Cada cop més, els números de targetes venuts a la web fosca són força forçats. Però, com funciona aquest atac?

El forçament brut és una mica com endevinar. Penseu en un ordinador que intenta endevinar la vostra contrasenya. Primer prova 000000, després 000001, després 000002, i així successivament fins que ho encerta. En ser un ordinador, pot fer milers de conjectures per segon. La majoria de sistemes limiten el nombre de conjectures que podeu fer en un curt espai de temps per evitar aquest tipus d'atacs, però hi ha maneres d'evitar-ho. Després de tot, no s'orienten a persones específiques ni a targetes específiques. Es tracta d'endevinar qualsevol detall de la targeta viable que funcioni per vendre.

Així és com funciona:

Els pirates informàtics intel·ligents poden reduir significativament la quantitat de números que necessiten per endevinar i comprovar per trobar el número de la vostra targeta de pagament. De fet, els investigadors de la Universitat de Newcastle estimen que un atac com aquest podria trigar tan sols 6 segons.

Consells sobre com mantenir-se segur

Hi ha poc que els usuaris puguin fer per protegir-se d'aquesta amenaça menys d'abstenir-se de l'ús de la targeta per complet. El més important és estar vigilant. Reviseu el vostre extracte mensual per detectar activitats sospitoses i responeu ràpidament i seriosament a qualsevol avís del vostre banc que la vostra targeta s'hagi utilitzat de manera no autoritzada.

Això és el que els bancs i altres proveïdors de serveis poden fer per protegir els usuaris:

• Sistemes de contrasenyes més forts: els sistemes de pagament i altres han d'utilitzar contrasenyes, i aquestes contrasenyes han de ser fortes. Cada pas addicional és un que farà que sigui molt més difícil que els atacants puguin entrar. Per evitar inconvenients als usuaris, els bancs podrien proporcionar gestors de contrasenyes, i ja n'hi ha bones. opcions de consum disponibles.
• MFA: l'autenticació multifactor s'està convertint en l'estàndard mínim, així que si el vostre banc encara no l'ofereix, demaneu-la o considereu canviar de banc. Les contrasenyes són només un pas, però verificar amb un dispositiu, codi de text, empremta digital o una altra mesura de seguretat proporciona un gran pas en la protecció.
• Seguretat del sistema i detecció de fraus: hi ha eines intel·ligents provades que els bancs poden utilitzar per detectar i prevenir aquests i altres atacs. Els sistemes de detecció de frau poden detectar situacions en què els lladres han aconseguit. Els bancs poden utilitzar eines com la IA per fer un seguiment dels intents de pagament per eliminar atacs fraudulents. També es fa pressió sobre els sistemes de pagament o els comerciants en línia, que sovint assumeixen el cost del frau, per la qual cosa tenen un gran incentiu per millorar els seus sistemes.

Recollida de dades: les dades es van recopilar en col·laboració amb investigadors independents especialitzats en investigació d'incidents de ciberseguretat. Van avaluar una base de dades que contenia els detalls de 4,478,908 targetes en total, incloent-hi detalls del tipus de targeta (crèdit o dèbit), banc emissor i si era reemborsable. Les dades que NordVPN va rebre dels investigadors de tercers no contenien cap informació relacionada amb una persona identificada o identificable (com ara noms, informació de contacte o altra informació personal). No operem amb nombres exactes de dades de targetes de pagament venudes a la web fosca, ja que NordVPN només ha analitzat un conjunt de dades estadístiques proporcionades per investigadors independents.

Anàlisi: els números en brut només proporcionen part de la imatge. La mida de la població i l'ús de la targeta varien entre els països, i aquests són només dos factors que poden canviar l'impacte d'aquestes xifres.

Hem comparat les dades estadístiques de les targetes entre països amb Estadístiques de població de l'ONU i el nombre de targetes en circulació per país o regió de Visa, Mastercard i American Express. Això ens va permetre calcular un índex de risc per comparar més directament la probabilitat que la vostra targeta estigui disponible a la web fosca per país.

Hem calculat l'índex de risc utilitzant els elements següents:

• Nombre de targetes a la base de dades per càpita d'aquest país;
• Nombre de targetes en circulació per a aquest país (en funció de les dades del país o regional de Visa, Mastercard i American Express);
• La proporció de targetes no reemborsables a la base de dades d'aquest país, amb influència reduïda sobre l'índex global;

A continuació, vam normalitzar logarítmicament aquests nombres per produir valoracions escalades entre 0 i 1.

FONT NordVPN