"Ontwerpfout in wachtwoordbeveiliging creditcards"
Er zit een ontwerpfout in het beveiligingsprotocol dat creditcardmaatschappijen gebruiken om creditcardhouders tegen fraude te beschermen. In 2001 introduceerde Visa het 3DS-protocol (3 Domain Secure), om online fraude met creditcards tegen te gaan. 3DS staat beter bekend als "Verified by Visa", "MasterCard Secure Code" en “SafeKey”. Volgens Rik Ferguson van anti-virusbedrijf Trend Micro, biedt het op de manier waarop het nu geïmplementeerd is geen bescherming tegen cybercriminelen
"Het probleem ontstaat door een basale ontwerpfout." Als een klant via het protocol iets bij een webwinkel koopt, wordt hij tijdens het betalingsproces naar een 3DS verificatiepagina doorgestuurd. Op deze pagina kan de klant de details van de transactie bevestigen door zijn wachtwoord in te voeren en zo de bestelling af te ronden. Op deze manier krijgt de webwinkel nooit het wachtwoord te zien, maar is die toch nodig om de transactie af te ronden. Zodoende zou de klant beschermd moeten zijn, ook al wordt de webwinkel gehackt.
Wachtwoord
Volgens Ferguson is dat niet het geval, want als een cybercrimineel de creditcardgegevens heeft, maar niet het wachtwoord, kan hij dit op kinderlijke eenvoudige wijze resetten. De eerste stap voor het wijzigen van het wachtwoord is het opgeven van het creditcardnummer. Vervolgens wordt om de beveiligingscode, verloopdatum, uitgiftedatum en geboortedatum gevraagd.
"Drie van de vier gegevens zin al tijdens de creditcarddiefstal buitgemaakt", aldus Ferguson. De virusbestrijder merkt op dat het vinden van de geboortedatum door sociale netwerken maar ook openbare gegevens vrij eenvoudig is.
E-mail
Heeft de crimineel de gegevens ingevoerd, dan kan hij een nieuw wachtwoord kiezen. De oorspronkelijke creditcardhouder wordt nooit per e-mail over het aangepaste wachtwoord ingelicht. De fraude wordt dan ook pas zichtbaar op de afschriften. Ferguson adviseert creditcardmaatschappijen om een 'reset URL' naar een geregistreerd e-mailadres te sturen, waarmee de houder het wachtwoord kan resetten. Is het wachtwoord gewijzigd, dan zou er een bevestigingsmail moeten worden gestuurd.
"Drie van de vier gegevens zin al tijdens de creditcarddiefstal buitgemaakt", aldus Ferguson.{/quote]
Ik vraag me af hoe Ferguson hierbij komt want de beveiligingscode mag wettelijk gezien nooit worden opgeslagen door de webwinkel.
De hacker zou eerst zelf alle transacties moeten onderscheppen en loggen om de code's buit te maken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!