В онлайн-оплате картами найдена уязвимость

Компания ChronoPay предупредила, что в протоколе 3D Secure, через который производится оплата с банковских карт на сайтах и в мобильных приложениях, присутствует уязвимость. Из-за бага в запросе аутентификации злоумышленник может подменить данные получателя платежа на странице подтверждения транзакции.

Протокол 3DS используется при приеме онлайн-платежей по банковским картам. Метод 3DS был разработан для защиты от кражи данных пластиковых карт и не предусматривает противодействия онлайн-мошенничеству со стороны самих получателей платежей, заявляют аналитики.

За счет уязвимости в запросе на аутентификацию плательщика (PAReq) злоумышленники могут ввести потребителя в заблуждение, подменив данные получателя платежа на странице подтверждения транзакции. Чтобы удостовериться, что оплату производит владелец счета, в дополнение к данным банковской карты необходим также код подтверждения, который приходит на привязанный к карте номер мобильного телефона в SMS.

Как сообщают эксперты, проблема заключается в отсутствии защиты запроса на аутентификацию плательщика PAReq. При оформлении заказа в интернет-магазине, оплате государственных пошлин или заказе услуг такой запрос передается в банк в виде простой адресной строки в браузере. В текущей версии 3DS она не шифруется криптографически и не проверяется платежной системой. Злоумышленникам не сложно подменить любые данные в строке запроса и ввести покупателя в заблуждение на странице подтверждения платежа.

«Банк России в курсе данной ситуации. Она касалась лишь узкого круга операций. Мы уведомили о ней банки и платежные системы», — сообщили в пресс-службе Банка России.

«В сети все больше мошеннических сайтов, которые выдают себя за известных поставщиков услуг, государственные службы или фирменные интернет-магазины. Уязвимость в запросах PAReq протокола 3DS позволяет убедить потребителя в том, что он проводит платеж в пользу определенной организации. Данные на странице подтверждения платежа могут быть подменены. Мошенники активно используют методы социальной инженерии, убеждая клиента как можно быстрее совершить платеж на их сайте. Мы рекомендуем пользователям быть предельно внимательными при проведении онлайн-платежей», — отмечает Павел Врублевский, генеральный директор процессинговой компании ChronoPay.

ChronoPay — активный участник Центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (ФинЦЕРТ) ЦБ РФ. Информация о данной уязвимости направлена представителям ФинЦЕРТ. Специалисты рассчитывают, что уязвимость будет исправлена в новой версии 3DS 2.0, переход на которую ожидается в ближайшее время. Пока же эксперты из ChronoPay рекомендуют плательщикам быть внимательными при совершении операций онлайн-оплаты.

На ту же тему
Свежие записи
Нейроэстетика: как произведения искусств влияют на мозг
5 / 5 (1 голосов)
Новинки техники для кухни из Южной Кореи
5 / 5 (1 голосов)
В Гамбурге крестили крупнейшее пассажирское судно в Европе
5 / 5 (1 голосов)
МУЗЫКА, КАК УНИВЕРСАЛЬНЫЙ ЯЗЫК ЧЕЛОВЕЧЕСТВА
5 / 5 (1 голосов)
Илон Маск объявил о новом рекорде Tesla Model S
5 / 5 (1 голосов)
Наверх