Академический Документы
Профессиональный Документы
Культура Документы
Nfc Кардинг, Часть 1
Nfc Кардинг, Часть 1
Рассматриваемые темы:
Можно ли НА САМОМ ДЕЛЕ украсть деньги,
прислонившись POS-терминалом к карману?—
мы попытаемся полностью воспроизвести этот
сценарий мошенничества от начала до конца, с
использованием настоящего POS-терминала и
платежных карт в реальных условиях.
В чем разница между физическими и
виртуальными картами Apple Pay? — как
происходит связывание физической карты и
токена Apple Pay, и почему Apple Pay во много раз
безопаснее обычной карты.
Используем аппаратный NFC-сниффер (ISO
14443A) — воспользуемся устройством HydraNFC
для перехвата данных между POS-терминалом и
картой. Рассмотрим, какие конфиденциальные
данные можно извлечь из перехваченного
трафика.
Разбираем протокол EMV — какими данными
обменивается карта с POS-терминалом,
используемый формат запросов, механизмы
защиты от мошенничества и replay-атак.
Исследуем операции без карты (CNP, MO/TO) — в
каких случаях на самом деле(!) можно украсть
деньги с карты, имея только реквизиты, считанные
бесконтактно, а в каких нельзя.
Внимание!
1. Покупатель прикладывает/проводит/вставляет
карту в POS-терминал;
2. POS-терминал по интернету передает данные в
банк-эквайер;
3. Банк-эквайер через международную платежную
систему (МПС) обращается в банк-эмитент и
запрашивает, может ли конкретный держатель
карты оплатить покупку;
4. Банк-эмитент подтверждает или отклоняет
покупку, после чего печатается слип (второй чек).
Бывают исключения из этой схемы, например
оффлайн транзакции, их мы рассмотрим далее.
Также, если банк-эквайер и банк-эмитент являются
одним и тем же банком, шаги 2 и 4 выполняются
внутри одного банка.
Условия следующие:
Юридическое лицо
Подсчитываем прибыль
В нашем сценарии себестоимость атаки была 100 000
рублей. Это значит, что для того, чтобы хотя бы
вернуть вложения, нашему герою нужно выполнить
минимум 100 транзакций по 1 тысяче рублей.
Представим, что он был достаточно проворным и
весь день бегал по городу, прижимаясь ко всем
подряд, так, что к концу для сделал 120 успешных
списаний. Мы не будем учитывать комиссию
эквайринга (в среднем 2%), комиссию на
обналичивание (4-10%) и другие комиссии.
Вывод