São Paulo - A HST, líder em tecnologia da informação para o ecossistema de pagamentos, realizou um levantamento no qual identifica um aumento na incidência de ciberataques com o uso dos chamados “robôs zumbis”, orquestrados através de uma tática hacker conhecida como PAN enumeration. De acordo com a estimativa da empresa, o crescimento na ocorrência deste tipo de investida nos últimos 12 meses foi de 100%.

“Neste tipo de contravenção, cibercriminosos tentam identificar números de cartões de crédito válidos, para posteriores fraudes, por meio da implantação de bots, que atuam de forma sistemática diretamente no site dos varejistas que não implementam medidas preventivas ao acesso de bots”, explica Eduardo Cunha, CEO da HST.

O executivo explica o funcionamento deste tipo de tentativa de fraude. “Cartões de crédito normalmente possuem 16 dígitos, sendo os primeiros seis deles, chamados de BIN, identificadores da bandeira e banco emissor, havendo outros dez dígitos para identificar dados da conta, exclusivos de cada cliente. Sobram 10 bilhões de possibilidades, o que parece muito. Mas se levarmos em conta que os cartões existentes normalmente estão agrupados em pequenos segmentos dentro deste universo de possibilidades, um fraudador com um pouco de imaginação e paciência, facilmente identifica estes segmentos. Estes fraudadores implementam bots que tentam realizar compras em comércios autênticos, variando o número do cartão e repetindo a operação milhares de vezes. A transação não se concretiza, mas o fraudador descobre números de cartão válidos.”

A partir dos cartões válidos descobertos, o fraudador realiza uma nova rodada de tentativas, desta vez tentando descobrir a data de vencimento, que é uma tarefa bem mais fácil, considerando que os cartões tem vencimento em até 5 anos. Isto daria 60 possibilidades, o que é muito pouco para um ataque de força bruta. Com números de cartões e datas de vencimento “quentes”, o fraudador pode optar por tentar transações sem código de validação ou executar uma terceira rodada para descobrir códigos de segurança.

É importante salientar que estes comércios são apenas um meio para descobrir dados válidos de cartão. Vários sites de doação localizados no exterior têm sido utilizados neste ataque. Por isto os comércios eletrônicos devem implementar mecanismos de segurança para impedir este tipo de ação.

Mensagens como “cartão inválido”, “data de expiração inválida” e “código de segurança inválido” devem ser substituídos por mensagens mais genéricas como “dados do cartão inválidos”. Outros mecanismos como controle de acessos consecutivos de um mesmo IP e número de tentativas inválidas consecutivas também são muito importantes.

Como se precaver
Para as empresas que buscam aumentar o nível de segurança, é preciso estar de olho em processos de autenticação feitos de forma repetida e aumentos vertiginosos de número de tentativas, sem qualquer explicação aparente.

Outra ação comumente executada pela HST para proteger seus clientes é suspender a possibilidade de o usuário testar repetidamente combinações de números, deixando, por exemplo, um intervalo de 1 minuto a cada tentativa mal sucedida, aumentando este intervalo à medida que o usuário erra novamente.

Leia outras notícias em Imirante.com. Siga, também, o Imirante nas redes sociais Twitter, Instagram, TikTok e canal no Whatsapp. Curta nossa página no Facebook e Youtube. Envie informações à Redação do Portal por meio do Whatsapp pelo telefone (98) 99209-2383.