6 segundos. Ese es el tiempo que han necesitado unos investigadores de una universidad de Newcastle para obtener información de una tarjeta de crédito recurriendo a un ataque de fuerza bruta. Las tarjetas VISA son las afectadas y esto demuestra que la seguridad de este medio de pago no resulta tan segura como parece, utilizando como base la secuenciación de números.
Hoy en día las entidades bancarias y tarjetas bancarias protegen contra este tipo de ataque a las tarjetas. Pero, en esta universidad han encontrado una forma de realizar el ataque de forma distribuida recurriendo a varios sitios web para evitar que se bloquee el intento, encontrando al final la secuencia de números válida, permitiendo el acceso a información para realizar transacciones contra la tarjeta de crédito o débito de forma no autorizada.
El estudio se ha realizado utilizando de partida 400 tiendas en línea. Estos servicios se localizaron a través de Alexa, eligiendo aquellas más populares. Por motivos de seguridad, el listado decreció finalmente hasta los 342 sitios web que fueron los que se emplearon.
Cómo obtener los datos de las tarjetas VISA
En primer lugar, se centraron en encontrar la fecha de caducidad correspondiente, una operación que no les llevó un segundo, sondeando a cada web hasta que finalmente se obtuvo la correcta. Para obtener el CVV la operación fue similar. Se trata de un código que para aquellos que no lo conozcan posee tres dígitos y se encuentra en la parte trasera de la tarjeta. Un total de 1.000 peticiones fueron necesarias para encontrar la combinación correcta.
Los usuarios de las tarjetas MasterCard deben saber que no son vulnerables, por lo que este ataque solo afecta a VISA.
La diferencia la marcan 6 segundos
Los investigadores han añadido que solo bastan 6 segundos para encontrar un número de tarjeta de crédito válido, su fecha de caducidad y el CVV asociado. Una vez encontrados estos tres datos, es el momento de comenzar las transacciones no autorizadas utilizando la tarjeta de crédito o débito.
Mientras MasterCard posee un sistema de detección de ataques de fuerza bruta, los usuarios de tarjetas VISA solo poseen como única opción por el momento activar 3D Secure. En la mayoría de los casos este mecanismo de defensa se puede activar de forma gratuita.
Los investigadores han notificado a VISA y a algunas tiendas en línea para que se solucione este problema de seguridad antes de que los usuarios se conviertan en víctimas reales.
Fuente: https://www.redeszone.net
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
