Démonstration de piratage d’une carte bancaire
- Détails
-
Publié le par Meilleurtaux Banques
Il ne faut que six secondes aux pirates pour hacker une carte bleue.
À travers une étude publiée dans le journal académique IEEE Security & Privacy, des chercheurs de l’université de Newcastle démontrent qu’une carte bleue n’est en sécurité nulle part.
En réitérant les tentatives sur différents sites, ces derniers sont parvenus à détourner les systèmes de sécurité des cartes de paiement, sans même connaître un seul détail confidentiel de celles-ci. Détails !
Une attaque par force brute
Pour contourner les systèmes de sécurité destinés à protéger les moyens de paiement en ligne, les chercheurs utilisent une attaque par force brute. Ils se rendent sur plusieurs sites et y génèrent de manière répétée et continue différentes informations de cartes de paiement (numéro, date d’expiration et cryptogramme visuel) jusqu’à l’obtention d’un résultat favorable.
En exploitant les six premiers chiffres de la carte de paiement, ceux qui indiquent la banque ainsi que le type de carte (identiques pour tous les établissements), les chercheurs obtiennent les trois informations essentielles pour effectuer un achat en ligne et cela, seulement en six secondes.
Les chercheurs expliquent qu’avec les nombreuses intrusions informatiques survenues récemment au sein des plus grandes entreprises, les pirates pourraient déjà disposer des numéros de cartes.
Il leur suffit donc de connaître la date d’expiration (qui peut être devinée en moins de 60 essais étant donné que la majorité des cartes de paiement sont valides cinq ans au maximum) et le cryptogramme visuel (qui ne comporte que trois chiffres et peut par conséquent être deviné en 1 000 essais dans le pire des cas).
Je compare les offres bancaires
Forces et limites de la technique
La réussite de l’attaque est liée au fait que le système ne parvient pas à détecter les échecs répétés sur une même carte bancaire s’ils se produisent sur plusieurs sites. De plus, parce que les informations demandées par les sites ne sont pas les mêmes, il est possible de deviner un champ à la fois.
Mohammed Ali, auteur principal de l’étude, explique que « ce type d'attaque exploite deux faiblesses qui ne sont pas trop graves d'elles-mêmes mais lorsque utilisées simultanément présentent un sérieux risque pour l'ensemble du système de paiement ».
Il souligne néanmoins que cette technique ne fonctionne qu’avec le réseau VISA. Le réseau centralisé de MasterCard a en effet détecté l’attaque après moins de 10 essais, même en répartissant les paiements sur divers réseaux. Mohammed Ali conclut que la confirmation par SMS exigée par de nombreux sites d’e-commerce en France est également un autre point faible de la technique.
