1. Взлом аккаунтов
2. Кража чисел и клонирование карт
3. Получение номеров навалом
4. Советы для ритейлеров
5. Советы для клиентов
6. Посмотрите, как такие решения, как Tripwire, используют альянс Walgreens-Boots для постоянного мониторинга...

Подарочные карты вызвали головную боль для розничная торговля в прошлом месяце разоблачение другого способа, которым мошенническая деятельность может привести к минимальной прибыли. Мошенничество с подарочными картами может варьироваться от физической кражи до клонирования до использования ошибок программирования на стороне продавца.

Методы атаки очень похожи на те, что наблюдаются при мошенничестве с кредитными картами, но о мошенничестве с подарочными картами в новостях сообщается реже. Причина в том, что, в отличие от нарушений данных, связанных с кредитными картами, личная информация (PII) редко разглашается. В любом случае, как продавцам, так и покупателям важно знать, как происходит мошенничество с подарочными картами, чтобы они могли распознать поведение и защитить себя.

1 июня австралийский ритейлер Woolworth's произошла утечка данных это привело к утечке номеров подарочных карт на сумму 1,3 млн. австралийских долларов. За несколько недель до этого у Starbucks было два громких инцидента с подарочными картами, один из которых был связан с исследователем безопасности, который обнаружил состояние гонки это позволило ему переводить остатки на карточках между карточками без вычета какой-либо стоимости, а другая включала функцию автоматической загрузки карточек, которая позволяла мошенникам быстро истощать вложенные банковские счета. В соответствии с составление отчетов Брайан Кребс, сам Starbucks не был взломан - клиенты были.

Далее в статье объясняется, что клиенты часто используют одну и ту же комбинацию имени пользователя и пароля на нескольких сайтах, а при взломе веб-сайта киберпреступники часто берут пароли и пробуют их на нескольких сайтах. Это то, что, скорее всего, случилось с клиентами Starbucks; это очень неудобно и дорого для жертвы, но ее можно избежать, если использовать хорошие парольные привычки.

Существует множество способов совершения мошенничества с использованием подарочных карт, и они очень заманчивы по многим причинам. Во-первых, и в первую очередь, вероятность того, что вас привлекут к ответственности, очень мала. Суммы в долларах на каждую отдельную транзакцию относительно невелики, и их недостаточно, чтобы привлечь внимание крупных правоохранительных органов, которые могут поймать преступников. Во-вторых, очень легко совершить мошенничество. Наконец, легко конвертировать стоимость подарочной карты в деньги или товар.

Как обычно происходит мошенничество с подарочными картами? Существует три основных категории мошенничества:

Взлом аккаунтов

Как описано ранее с История Starbucks Воры могут взломать подарочные карты и быстро слить им деньги. Если функция автоматической загрузки включена, в течение нескольких секунд киберпреступник может быстро накапливать платежи и запускать процесс снятия денег со скомпрометированной учетной записи подарочной карты.

Другим распространенным способом является использование подарочных карт для быстрой монетизации стоимости других взломанных учетных записей, таких как программы поощрений кредитных карт или гостиничные баллы.

Вот как это работает:

• Киберпреступник получит имя пользователя и пароль для программы вознаграждений по кредитным картам, как правило, с помощью повторно используемых учетных данных или вредоносных программ.
• Они войдут в систему и проверит стоимость аккаунта. Например, скажем, это 5000 долларов.
• Программы погашения кредитных карт предлагают много различных предметов, которые они могут обменять на очки. Существует несколько проблем для мошенника. Они не могут выкупить клюшки для гольфа - куда они их отправят? Возврат наличных либо погашается в виде выписки по кредиту, либо отправляется в качестве чека держателю карты - тоже не годится. Подарочные карты, однако, являются отличным способом быстро монетизировать взломать.
• Искупитель мгновенно получает номер карты электронного подарка, который можно сразу же потратить, а это означает, что мошенник может обменять баллы на сумму 5000 долларов на сумму в 5000 долларов на карту электронного подарка. На месте мошенник предоставит номер подарочной карты, который можно распечатать и использовать в магазине или онлайн.
• Затем мошенник использует услугу, которая конвертирует подарочные карты в наличные, например, cardcash.com или же cardhub.com , Обычно на таких сайтах можно получить 60% номинальной стоимости типичных подарочных карт. В торговых центрах также есть физические киоски, которые предлагают такую ​​же услугу.
• Мошенник теперь может эффективно конвертировать очки или вознаграждения взломанного аккаунта в реальные деньги.

Кража чисел и клонирование карт

Другой очень распространенный способ мошенничества с подарочными картами заключается в краже номеров с физических подарочных карт. Подарочные карты работают по существу так же, как и кредитные карты с магнитной полосой - номер подарочной карты напечатан на карте для ручного ввода ключа, а также закодирован на магнитной полосе на обратной стороне карты.

Номер магнитной полосы представляет собой простой текст, и его можно прочитать с помощью считывающего устройства с магнитной полосой, приобретенного за 15 долларов США на eBay или в магазине электроники. Подарочные карты могут иметь или не иметь дополнительный уровень безопасности, PIN-код с покрытием, похожий на лотерейный билет, который необходимо стереть.

Некоторые продавцы, такие как Starbucks, не требуют, чтобы клиент вводил PIN-код при использовании карты. Клиент просто смахивает карту, и он готов к работе. Другие продавцы используют PIN-коды, что обеспечивает дополнительный уровень защиты - для использования у покупателя должна быть физическая карта.

Подарочные карты нельзя использовать, пока они не активированы в кассе. Во многих магазинах подарочные карты находятся в доступном месте. Известно, что люди крадут стопку карточек, приносят их домой, записывают цифры (или пишут сценарии с помощью считывателя магнитных полос), а затем забирают их обратно в магазин и кладут на полку.

Наглые преступники могут записать или сфотографировать номера прямо в магазине. Оттуда это игра ожидания. Большинство продавцов предлагают способ проверить остатки подарочных карт онлайн - мошенники будут неоднократно проверять остатки на веб-сайте продавца и ждать, пока они не будут активированы законной покупкой. В таком случае перевод остатков на другую карту или конвертация в наличные деньги с использованием стороннего спасателя истощает остатки.

Не было зарегистрировано ни одного случая использования POS-скиммеров для получения номеров подарочных карт, но эта атака также сработает.

Добавление PIN-кода может задержать мошенника, но не отпугнуть его полностью. Они могут поцарапать покрытие, открыв PIN-код, и заменить его новой наклейкой, которую можно легко купить на eBay.

Скретч-наклейки для продажи на Ebay;20 июня 2015 г.

Этот тип мошенничества является довольно низкоуровневым и не приводит к огромным потерям для продавца, но является довольно шокирующим для покупателя, когда получатель подарочной карты пытается ее выкупить и обнаруживает, что баланс равен нулю. Некоторые розничные продавцы возмещают покупателю номинальную стоимость подарочной карты, но в итоге это наносит удар по репутации ритейлера, а также вызывает головную боль для потребителя.

Получение номеров навалом

Чуть более сложным, но гораздо более полезным является приобретение номеров подарочных карт оптом у эмитентов, продавца, программы погашения вознаграждений и т. Д. Это можно сделать множеством способов, включая фишинг, инъекцию SQL, социальную инженерию и случайное раскрытие информации. ,

Случайное раскрытие - именно то, что произошло в Woolworth's, где у сотрудника компании была электронная таблица с 8 000 номеров подарочных карт на общую сумму 1,3 млн. Австралийских долларов. Сотрудник случайно отправил электронное письмо более 1000 человек. Любой, кто получил электронное письмо, может немедленно пойти по магазинам или начать конвертировать номера подарочной карты в наличные.

Советы для ритейлеров

Безопасность в магазине важна. Храните подарочные карты за прилавком или запертыми в шкафу. Не рекомендуется оставлять их в общедоступном месте, поскольку существует высокая вероятность того, что кто-то совершит одно из мошеннических действий, описанных выше.

Еще более важно иметь хорошие правила и процедуры для централизованного управления номерами подарочных карт. Во-первых, требуется PIN-код для использования подарочной карты. Далее, на уровне корпоративной политики, никогда не сохраняйте PIN-коды подарочных карт с номерами подарочных карт - держите их отдельно. Наконец, ограничьте количество просмотров онлайн-баланса максимум несколькими часами.

Советы для клиентов

Лучший совет для клиентов, покупающих подарочные карты, - это покупать только подарочные карты от известных продавцов. Всегда обращайте внимание на физическую карту и ищите признаки подделки, такие как выцарапанный и / или замененный PIN-код. Самое главное - сохранить квитанцию. Если вы возьмете карту домой и обнаружите, что на ней нет средств, вы можете возместить свои убытки, обратившись к продавцу, который продал карту, или в магазин, в котором можно получить подарочную карту.

Мошенничество с подарочными картами довольно несущественно, если сравнивать с последними действующими лицами, угрожающими национальным государством, которые используют многочисленные уязвимости в течение 0 дней, но это серьезная проблема, которая истощает деньги как у розничных продавцов, так и у потребителей. Зная, как совершается это мошенничество, мы можем обнаружить мошенников и защитить себя.

Посмотрите, как такие решения, как Tripwire, используют альянс Walgreens-Boots для постоянного мониторинга и защиты бизнеса, обеспечивая при этом надежность систем и их безопасность.

Об авторе: Тони Мартин-Веге - 20-летний ветеран информационной безопасности с опытом работы в сети, криптографии и управление рисками , Он работал в крупных глобальных организациях, ведущих программах киберпреступности, управления рисками предприятия и безопасности. Он - блогер и ведущий подкаста Standard Deviant Security, подкаста, который со всей откровенностью и сообразительностью поддерживает зеркало отраслевых истин. Тони имеет степень бакалавра наук в области экономики бизнеса Университета Сан-Франциско и имеет множество сертификатов, таких как CISSP, CISM и CEH. Его можно найти в Интернете по адресу www.thestandarddeviant.com и в твиттере @tdmv ,

Примечание редактора . Мнения, высказанные в этой статье гостя-автора, принадлежат исключительно авторам и не обязательно отражают точку зрения Tripwire, Inc.

Изображение заголовка любезно предоставлено ShutterStock

Похожие

Комментарии