Trend Micro предупреждает о возможных утечках в Visa 3DS

Компания Trend Micro призывает обновить онлайновую систему аутентификации кредитных карт Visa 3 Domain Secure (3DS), поскольку в существующем виде она представляет угрозу безопасности персональных данных. Как пишет директор по исследованиям Trend Micro EMEA Рик Фергюссон (Rik Ferguson) в блоге CounterMeasures, мошенники, специализирующиеся на краже кредитных карт и использовании их в онлайновых покупках, эксплуатируют недостатки онлайновой системы не один год.

Все дело в протоколе безопасности 3DS (эта программа предназначена для защиты от онлайнового мошенничества и переноса ответственности за транзакцию с онлайнового продавца на банк-эмитент кредитной карты) и реализации механизма восстановления пароля в нем.

Держатели карт, участвующие в этой программе, регистрировали свои карты по ее номеру, почтовому коду и дате рождения, и подтверждали информацию секретным кодом. При расчете с онлайновым продавцом, покупателю достаточно ввести код, который верифицируется банком-эмитентом (но при этом не попадает на сайт продавца). Но иногда люди забывают пароли и секретные коды, а функция сброса забытого пароля в Visa 3 Domain Secure сводит на нет всю обеспечиваемую программой безопасность.

Дело в том, что после щелчка на ссылке «I forgot my password», пользователю предлагается ввести информацию, удостоверяющую личность (последние три цифры на обороте карты, срок ее действия, имя держателя, дата рождения) и затем – новый пароль. Но ведь три из четырех необходимых записей, удостоверяющих личность, есть на самой карте! А дату рождения легко найти в социальных сетях, регистрационных данных на других ресурсах и пр. Более того, оказалось, что владелец карты даже не извещается о смене пароля! И остается в неведении о движении средств по счету до получения очередной выписки из банка.

Можно предположить, что переложив ответственность за мошенничество на плечи банка, онлайновый магазин сокращает меры безопасности, стало быть вероятность того что платеж будет принят растет. Очевидно, что такая реализация одной функции в Visa 3DS не ограждает держателей карт от рисков, напротив, только добавляет новые.

Стратегія охолодження ЦОД для епохи AI