|
|
51CTO旗下网站
|
|
移动端

浅谈无卡化背景下的支付诈骗

本文将和您讨论无卡化背景下支付欺诈的特征、类型和趋势,并最终给出反欺诈的相关标准和优秀实践。

作者:陈峻译来源:51CTO|2020-08-07 07:00

【51CTO.com快译】

支付卡的普及不仅方便了消费者和企业,同时也方便了欺诈者。根据实体卡和移动支付行业出版物--《尼尔森报告(Nilson Report)》的最新数据:2018年全球支付卡欺诈损失已达278.5亿美元。该报告认为:支付卡用户每支出100美元,就有10.83美元的损失。而上一年度的该数字则为每100美元损失11.12美元。安全意识培训提供商--KnowBe4,针对美国国防部的宣传员Roger Grimes曾指出:让大多数支付卡服务商担心的不只是欺诈问题,合法交易的阻断同样值得他们严密关注。从简单地监控商品与服务价格的异常上涨,到运用各种科技手段的侦测,大多数系统虽然在持续更新和迭代中,但是它们对于支付卡欺诈攻击的防御,也表现出了一些虚假的安全态势。

支付卡欺诈的范围和趋势

近年来,发卡机构通过使用EMV的PIN和芯片技术(请参见--https://www.csoonline.com/article/2685514/chip-and-pin-no-panacea-but-worth-the-effort-and-the-cost.html)提高了物理卡的安全性。EMV虽然是一个巨大的飞跃,能够有效地打击线下欺诈行为,但是线上支付卡欺诈案件仍在持续增加。

美联储于2018年发布的一项研究指出,在美国开始发行EMV类型卡的一年之后,使用实体支付卡进行欺诈交易的行为,从2015年的36.8亿美元降低到了2016年降的29.1亿美元。而在同一时期内,通过电话或在线交易的欺诈案件,则从34亿美元增至45.7亿美元。如今,无卡化(card-not-present)相关欺诈攻击的发生率比起实体卡(card-present)的欺诈要高出81%。

由于EMV技术在全球范围内的普及程度存在着参差不齐的现象,一些有组织的犯罪集团可以在支持EMV国家/地区的ATM机、或销售终端上安装带有无线电的检漏器(radio-enabled skimmer,一种在用户不知情的情况下捕获支付卡信息的硬件设备),然后将收集到的数据发送给身处无EMV国家的同伙。他们往往可以在不到一分钟的时间内获取相关的信息,并打印出新的卡片。而且此类伪造卡在被使用时,不会发生任何EMV问题。

相比实体卡攻击,攻击者在无卡化环境中,更容易向目标网络的所有潜在受害者发起钓鱼攻击,以直接套取信用账户的详细信息;或者以感染恶意软件的方式,窃取其详细的信息。此外,他们可以使用僵尸网络,来尽快操控更多的站点,包括使用伪装的ID或IP地址来开展新的攻击。例如,一些经验丰富的攻击者,会模拟出目标账号经常进行在线交易的IP地址段。与此同时,他们可能会使用模拟器来生成智能移动设备,通过更改电脑系统上的时间,来匹配相关的时区,甚至使用虚拟机、或是被擦除的、已越狱的设备,来伪装成普通用户的交易设备。

随着网络协作效率的提升,针对无卡化信用账户的欺诈已成为了一个庞大的产业链。该链条中有着明确的分工与协作。从近年来发生的各种欺诈与数据泄露案例中,我们不难发现:在恶意软件的创建者、非法支付系统的维护者、以及打包出售信用信息的人员之间,都形成了一套大规模的、有组织和协调能力的协作网络。此外,他们还为新手攻击者创建了端到端的服务,从而“反哺”和加快了漏洞利用技术的发展。

如今,账户盗用者也将数字钱包视为攻击目标。在黑市上,那些被盗用账户里的余额,会被出售和加载到某些非存款类帐户中。此类攻击往往针对的是,被盗账户所购买的礼品卡、或无法绑定到个人现金账户的预付费卡。也就是说,此类卡中的金额完全可以在网上被匿名转移和使用。

近年来,欺诈者的“购买习惯”也发生了变化。考虑到实物商品很难别转换成现金,而且很容易被执法部门所追踪到,因此他们避开了实物商品,转而选择更难追踪的无形物品,例如:礼品卡、加密货币和数字商品等。此外,他们还会尝试着从信用账户的积分计划中获得收益。

不过,随着监管的严格以及各国打击手段的增强,最近有研究发现:信用账户欺诈呈现出了供过于求的趋势,该产业的“从业人员”居然感受到了需求不足的压力。这也直接反应在了黑市上:被盗账户的价格已经降低到了每张只值几美元。

信用账户欺诈的类型

帐户接管

虽然攻击者可以采用不同的方式来获得目标帐户的信任凭据,但是最普遍的方法莫过于:在暗网上直接购买,或是通过邮件钓鱼等欺骗的手段来捕获。一旦攻击者获得了目标帐户的信任凭据,他们除了可以直接使用该帐户所绑定的支付卡购买商品之外,还可以添加或修改既有的个人资料,例如:添加新的商品寄送地址等。

Skimmers和shimmers

Skimmer主要是在卡的磁条上捕获支付卡信息;而shimmer(请参见--https://www.csoonline.com/article/3104393/black-hat-atm-spits-out-cash-after-chip-and-pin-hack.html)则是从EMV类型卡中获取数据。它们通常被植入ATM或收银终端等硬件设备中,窃取用于完成合法交易的信息。不过,由于安插此类硬件费时费力且风险性大,因此攻击者通常会采用恶意软件,去远程路由并感染POS(point of sale)系统(请参见--https://www.csoonline.com/article/2459967/nearly-600-business-impacted-by-pos-malware-attack.html)。

Formjacking

作为一种最常见的在线欺诈形式,Formjacking是让恶意脚本被注入到目标站点的付款页面中,以窃取购物者输入的支付卡信息,并及时转发给攻击者。此类攻击的经典案例是:由至少七个犯罪集团组成的Magecart,曾利用数千个恶意软件感染了数千个电子商务站点的购物车。他们攻击过的目标包括:Ticketmaster、British Airways和Newegg等。

利用漏洞

此类攻击利用的是支付程序中的缺陷,进而从设备中窃取卡密数据与信息。例如,Magecart曾利用MAGMI(一个基于Magneto在线商店的插件)中的错误,在其网站上植入了恶意代码,从而导致用户支付信息被盗取。

网络钓鱼

正所谓“好奇害死猫”。无论我们如何警告用户,他们仍然会心存侥幸地去点击陌生电子邮件中的各种链接,最终导致被重定向到恶意网站上。该网站会试图在受害者计算机上植入恶意软件,进而窃取文本类简单的键盘记录,或是去查找和解析复杂的数据样式。

内部威胁

常言道:“祸起萧墙”。无论是金融机构、支付卡制造商、还是线上电商、线下零售店,几乎所有的卡密交易企业,都需要严密监控内部员工不当和不法的欺诈行为。

反欺诈法规

如今,无论是提供卡密交易服务的企业商家,还是独立软件开发商(Independent Software Vendors,ISV),只要涉及到存储、处理、传输、或以其他方式处置持卡人数据、以及可能影响到持卡人数据的安全性,都必须遵守支付卡行业数据安全标准(PCI-DSS,请参见--https://www.csoonline.com/article/3566072/pci-dss-explained-requirements-fines-and-steps-to-compliance.html)。其具体要求包括:

  • 安装并维持防火墙的配置,以保护持卡人的数据。
  • 不要将供应商提供的默认值,用于系统的密码和其他安全参数。
  • 保护已存储的持卡人数据。
  • 在开放式公共网络中加密传输持卡人的数据。
  • 使用并定期更新防病毒软件或程序。
  • 开发和维护安全的系统和应用程序。
  • 根据业务须知原则,限制对持卡人数据的访问。
  • 为具有访问权限的每个人分配唯一性的ID。
  • 限制对持卡人数据的物理访问。
  • 跟踪和监控对于网络资源和持卡人数据的所有访问。
  • 定期测试安全系统和流程。
  • 坚持对所有人宣传信息安全的相关策略。

此外,授权控制、渗透测试和年度审计,也能够帮助组织来保护卡密交易与存储的安全。

减少支付卡欺诈的实践

以下是目前业界普遍公认的预防支付卡欺诈的最佳做法:

  • 对保存有支付卡数据的数据库进行加密。
  • 通过定期检查,发现那些使用skimmer与已知命令和控制(command-and-control,C&C)服务器之间的通信。
  • 定期扫描目标网站上是否存在漏洞和恶意软件。
  • 审核由合作伙伴或内容分发网络,所加载过来的第三方代码是否存在恶意软件。
  • 对购物车软件和其他服务保持更新,并定期打补丁。
  • 使用强密码策略,并以最小权限原则限制访问目标网站的后台管理页面。
  • 监视暗网,及时发现是否有被盗取的卡密数据。
  • 使用异常检测软件,以识别和标记可疑的活动。
  • 鼓励客户选用多因素身份验证,尤其是在更改个人信息和付款方式的场景中。
  • 通过培训和教育,让用户能发现和识别账号已被盗用的迹象,并鼓励他们勇于举报任何可疑的行为。

【原标题】Credit card fraud: What you need to know now (作者: Stacy Collett)

【51CTO译稿,合作站点转载请注明原文译者和出处为51CTO.com】

【编辑推荐】

  1. 2020网络安全创新排行
  2. 安全研究 | Nginx反向代理钓鱼
  3. 干货收藏!系统主机信息安全设计及防护策略
  4. 数字基建不可忽视网络安全风险
  5. 保障密码安全的7个小提示
【责任编辑:华轩 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

订阅专栏+更多

大数据安全运维实战

大数据安全运维实战

CDH+Ambari
共20章 | 大数据陈浩

91人订阅学习

实操案例:Jenkins持续交付和持续部署

实操案例:Jenkins持续交付和持续部署

微服务架构下的自动化部署
共18章 | freshman411

188人订阅学习

思科交换网络安全指南

思科交换网络安全指南

安全才能无忧
共5章 | 思科小牛

110人订阅学习

视频课程+更多

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊

51CTO服务号

51CTO官微