Хакер #305. Многошаговые SQL-инъекции
Эксперт компании ThreatPipes Дэвид Гринвуд провел интересный эксперимент — решил установить, на протяжении какого времени попавшая в сеть информация о банковских картах остается незамеченной, и как скоро ею заинтересуются преступники. Дело в том, что за последние два года мошенники четырежды пытались использовать банковскую карту исследователя, что не могло не привлечь его внимание.
Сначала Гринвуд получил анонимную предоплаченную карту Visa и сам попытался продать о ней данные в даркнете. Оказалось, что это не так просто, и чтобы торговать такой информацией на хакерских форумах нужна репутация и люди, которые могут за вас поручиться. Тогда исследователь решил зайти с другой стороны и опубликовал на нескольких paste-сайтах фальшивый набор данных о банковских картах, включив в дамп и данные своей настоящей карты (включая дату истечения срока действия, CVV и платежный адрес).
Спустя всего два часа по карте исследователя была совершена микротранзакия, предназначенная для проверки достоверности данных. Такие тесты, как правило, автоматизированы и выполняются специальными ботами.
«В течение двух часов кто-то (или что-то) попытался купить нечто у известного продавца в Великобритании, используя мою предоплаченную карту», — подводит итог эксперимента Гринвуд.
Опыт исследователя доказывает, что попавшие в сеть данные очень быстро попадают в поле зрения злоумышленников. То есть после утечки данных счет идет буквально на часы, а значит, принимать меры (блокировка карту, менять пароли и так далее) тоже следует быстро.
