Evite a violação de cartões-presente: enumeração de força bruta


Obrigado! 

Um especialista do Distributed Cloud Bot Defense entrará em contato com você o mais rápido possível.

A violação de cartões-presente costuma ser uma fraude off-line e on-line

A violação de cartões-presente é um tipo de ataque de força bruta no qual os invasores verificam milhões de variações de números de cartões-presente em uma aplicação de cartão-presente para identificar os números dos cartões com valor. Depois que o invasor identifica os números do cartão com saldos positivos, ele usa ou vende o cartão-presente antes que o cliente legítimo tenha a chance de usá-lo.

A F5 impede ataques de enumeração de cartões-presente válidos

O Distributed Cloud Bot Defense da F5 protege as aplicações de cartões-presente on-line contra solicitações automatizadas. Nenhum cliente real usa automação na aplicação e, sem bots, a violação de cartões-presente se torna uma opção pouco atraente para invasores com motivação financeira.

Marca de luxo combate a fraude de cartões-presente:

  • Tanto a “consulta de saldo” na página inicial quanto “aplicar saldo” durante o fluxo de finalização da compra estavam sob ataque
  • Os invasores estavam usando a aplicação de pesquisa de saldo de cartão-presente 100 vezes mais que os clientes reais
  • Os invasores pararam de atacar a empresa depois que a varejista introduziu o Distributed Cloud Bot Defense

98,5%

DE TODO O TRÁFEGO NA APLICAÇÃO WEB DE SALDO DE CARTÃO-PRESENTE DO VAREJISTA DE LUXO FOI AUTOMATIZADO.

As três etapas para violação de cartões-presente

1. Limitação das possibilidades

O invasor pode pegar alguns cartões-presente físicos descarregados de uma loja física para ver se o emissor do cartão-presente confia em padrões de numeração sequencial. Essa não é uma etapa necessária, mas aumenta a eficiência do invasor; por exemplo, pode ser que apenas os 8 dígitos do meio de um número de série de 16 dígitos precisem ser quebrados, ao contrário de todos os 16.

Às vezes, uma aplicação Web ou móvel ajuda inadvertidamente o invasor a estreitar o campo de possibilidades ao fornecer feedback quando um número inválido é inserido, por exemplo, “todos os números de cartões-presente eletrônicos começam com o dígito 2”.

2. Início do ataque

O invasor escreve um script para testar todas as variações possíveis de número de cartão-presente com base na amostra adquirida na Etapa 1, até que um número suficiente de correspondências seja encontrado. Os invasores podem incorporar ferramentas como o Burp Suite em suas táticas.

A F5 observou um aumento na violação de cartões-presente durante a temporada de festas, pois é quando a maioria dos cartões-presente é comprada e ativada.

3. Saque

Os invasores usarão os próprios cartões para comprar produtos para revenda ou vendê-los on-line por meio de um mercado como Raise.com.