Đại Học Newcastle: Chỉ Cần 6 Giây Để Hack Thẻ VISA

Thượng tuần tháng 12/2016, các nhà nghiên cứu ở Đại học Newcastle phát hiện ra rằng kẻ xấu có thể dùng các con bot tự động trên web để đoán thông tin thẻ Visa của người dùng, nhờ vào một lỗ hổng trong hệ thống thanh toán.

Vấn đề lớn nhất của hacker là cần phải có được 16 số thẻ của người dùng. Thông thường, hacker lấy số thẻ bằng cách mua số lượng lớn từ chợ đen, hoặc dùng thuật toán tạo ra số hợp lệ. Sau đó, bot sẽ tìm kiếm ngày hết hạn và mã bảo mật CVV (3 chữ số phía sau thẻ) bằng cách truy cập vào các trang web mua sắm để săn thông tin. Quy trình nghe có vẻ sẽ mất thời gian, nhưng một con bot có thể làm trong chỉ 6 giây.

Vấn đề xuất phát từ việc hệ thống chính của Visa và một số ngân hàng không có tính năng kiểm tra số lần nhập sai số thẻ và các thông tin khác. Việc triển khai tính năng bị phụ thuộc vào các cổng thanh toán. Trong khi đó, Mastercard có thể nhận biết 10 lần nhập thông tin sai và chặn số thẻ lại, không quan trọng là thẻ đang được dùng để thanh toán ở đâu, giao dịch gì.

Ngoài ra, việc các website thu thập nhiều thông tin khác nhau trên thẻ cũng giúp bot dễ đoán hơn thông tin chính xác của người dùng. Có web thì lấy số thẻ và ngày hết hạn (yêu cầu cơ bản nhất), có nơi lấy cả số thẻ, ngày hết hạn lẫn CVV, hoặc thậm chí lấy thêm cả tên họ chủ thẻ.

Các nhà nghiên cứu tin rằng kĩ thuật đã được sử dụng trong vụ tấn công mới nhất vào nhà bán lẻ Tesco ở Anh, hậu quả là có các giao dịch trị giá 3.2 triệu USD được phát hiện là giả mạo. Hiện Visa chưa phản hồi lại vấn đề, nhưng cách tốt nhất để khắc phục là tung ra tính năng giới hạn số lần nhập thông tin sai tương tự như Mastercard. Các chủ website và cổng thanh toán cũng cần xây dựng chức năng giới hạn số lần thông tin sai để bảo đảm an toàn hơn.