Что такое дампы банковских карт

Кардинг. Дампы карт и их технология.

Шалом! Слышал про дампы карт? Даже если да, то статья всё равно будет полезна тебе!

Не путайте ДАМПЫ [?] с СС [?] !

Вид дампа

Итак, сейчас опишем что у нас должно быть написано на дорожке. Нас интересует вторая дорожка, и что же мы на ней можем увидеть?

Она может содержать до 40 символов:

Сначала идет стартовый символ — %
Потом идет PAN — до 19 цифр, в нашем случае это номер карты.
В него входит код эмиттера карты (IIN: Issuer Identification Number) (до 6 символов), который в свою очередь состоит из:

Основного промышленного индентификатора (MII: Major Industry Identifier) (до 2х символов):

0: Зарезервированно для будущего использования стандартом ISO/TC 68.
00: Не для выпуска карт
1: Авиалинии.
2: Авиалинии и для будущего использования.
3: Путешествия и развлечения.
4: Банк/финансы.
5: Банк/финансы.
59: Финансовые организации не попадающие в рамки ISO.
6: Банки и мерчи.
7: Топливная промышленность.
8: Телекоммуникации и для будущего использования.
89: Телекоммуникации и для часных агенств.
9: Зарезервировано для национального использования.

Далее идет код эммитера [?] (II: Issuer Identifier), до 5 цифр, в некоторых случаях пишется длина INN или его размер если он выходит за пределы ISO. Если MII равен 9 то первые три цифры — это код страны(для нас интереса не представляет)

Потом идет индивидуальный номер аккаунта (IAI: Individual Account Identification), до 12 цифр, назначается организацией, выдавшей карту

Затем идет одна цифра, используемая для проверки номера и прочей информации, вычесляется по формуле: (чуть попозже выложу формулу)
PAN мастеркарда состоит из не более 16 символов, а у VISA — 13 или 16, включая проверочную цифру.

Далее идет разделитель, один символ — =

За ним слежует в некоторых случаях код страны (если PAN начинается с 59), он определяется в ISO 3166: 724 для Испании, 840 для USA и тд.

Потом в большинстве случаев идет дата окончания действия карты в формате ГГММ (годмесяц).

Затем идет трехсимвольный сервисный код, он состоит из:

Первая цифра, определяет где можно использовать карту:
0: Зарезервировано для будущего использования.
1: Для международного использования.
2: Для международного использования, с ограничениями.
3: Зарезервировано для будущего использования.
4: Зарезервировано для будущего использования.
5: Только для внутреннего использования, кроме заранее оговоренных соглашений.
6: Только для внутреннего использования, кроме заранее оговоренных соглашений, с ограничениями.
7: Не для оплаты, кроме заранее оговоренных соглашений.
8: Зарезервировано для будущего использования.
9: Для проверки.

Вторая цифра, определяет условия использования/авторизации карты (Authorization processing):
0: Транзакции осуществляются по стандартным правилам.
1: Зарезервировано для будущего использования.
2: Транзакция осуществляется эммитером, должна быть онлайн.
3: Зарезервировано для будущего использования.
4: Транзакция осуществляется эммитером, должна быть онлайн, кроме заранее оговоренных соглашений.
5: Зарезервировано для будущего использования.
6: Зарезервировано для будущего использования.
7: Зарезервировано для будущего использования.
8: Зарезервировано для будущего использования.
9: Зарезервировано для будущего использования.

Третья цифра, определяет сервисы и условия требования PIN
0: Без ограничений, нужен PIN.
1: Без ограничений.
2: Товары и услуги (не наличка).
3: ATM только и нужен PIN.
4: Только деньги.
5: Товары и услуги (не наличка) и нужен PIN.
6: Без ограничений, PIN по требованию.
7: Товары и услуги (не наличка) и PIN по требованию.
8: Зарезервировано для будущего использования.
9: Зарезервировано для будущего использования.

Потом идет хэш PVV (PIN Verification Value), 5 символов, за ним символы, зарезервируемые для использования эммитером. И в конце всего стоит завершающий символ -?

Пример второй дорожки (придуманный): ; 4598530106131217=06081211834918387276?

Обзор методов взлома смарт-карт

Индустрия смарт-карт переживает период мощного расцвета. В 2002 году по всему миру было продано почти 2 миллиарда интеллектуальных карточек со встроенным микрочипом, а в ближайшие годы ожидается рост этих цифр в разы.

Причины этого просты — области применения смарт-карт все время расширяются: от телефонной карты до жетона аутентификации пользователя ПК, от «электронного кошелька» для хранения цифровых наличных до цифрового паспорта-идентификатора. Массовое внедрение смарт-карт в повседневную жизнь сопровождается непременными заверениями официальных представителей индустрии о том, что чип-карты — это наиболее безопасная из существующих на сегодня технологий, которую сложно (читай — практически невозможно) вскрыть. Но мы с тобой знаем, что это вовсе не так.

Нравится это кому-то или нет, но вскрытие смарт-карт — явление весьма давнее и распространенное повсеместно. Как свидетельствуют специалисты, примерно с 1994 года практически все типы смарт-карточных чипов, использовавшихся в европейских, а затем в американских и азиатских системах платного телевидения, были успешно вскрыты крякерами при помощи методов обратной инженерной разработки. А добытые секреты карт (схема и ключевой материал) затем продавались на черном рынке в виде нелегальных клон-карт для просмотра закрытых ТВ-каналов на халяву.

Менее освещено в прессе другое направление — подделка телефонных смарт-карт или электронных кошельков. Однако известно, что и в этой области далеко не все в порядке с противодействием взлому. Индустрии приходится регулярно заниматься обновлением технологий защиты процессора смарт-карт, крякеры в ответ разрабатывают более изощренные методы вскрытия, и так до бесконечности.

Разновидности технологий

Классификация методов вскрытия смарт-карт может несколько различаться у разных авторов, однако чаще всего выделяют следующие категории атак, которые обычно применяются в разных сочетаниях друг с другом.

Технологии микрозондирования — с помощью микроскопа и иглы микропробника позволяет получить доступ непосредственно к поверхности чипа, где атакующий регистрирует прохождение информации (побитно), манипулирует процессами и вмешивается в работу интегральной схемы. Программные атаки- используют обычный коммуникационный интерфейс процессора смарт-карты и эксплуатирует уязвимости защиты, выявленные в протоколах, криптографических алгоритмах и других особенностях конкретной реализации схемы. Отмечу, что чем более зрелой является технология защиты, тем чаще приходится сочетать этот метод с другими методами атак. Анализ побочных каналов утечки информации- атакующий с высокой по времени частотой снимает аналоговые характеристики колебаний в питании и интерфейсных соединениях, а также любые другие электромагнитные излучения, порождаемые элементами схемы процессора (транзисторами, триггерами и т. п.) в ходе обычной работы. Технологии индуцирования сбоев- напротив, создаются нештатные условия эксплуатации, чтобы вызвать ошибки в работе процессора и открыть таким образом дополнительные каналы доступа к защищенной информации.

Разрушающие атаки

Типичный чиповый модуль смарт-карты имеет тонкое пластиковое основание размером порядка одного квадратного сантиметра с контактными зонами с обеих сторон. Одна сторона модуля видна на самой смарт-карте и контактирует со считывателем. Кремниевая матрица приклеена к другой стороне основания (подсоединение с помощью тонких золотых или алюминиевых проводов). Сторона пластины, где находится чип, покрыта эпоксидной смолой, и такой чиповый модуль вклеивается в карту.

Вынуть чип из карты легко. Прежде умельцы вынимали с помощью острого ножа или ланцета, срезая пластик тыльной стороны карты до тех пор, пока не покажется эпоксидка. Позже стали быстро вынимать чип, просто разогревая пластмассу до мягкого состояния. Далее эпоксидный слой удаляется нанесением нескольких капель концентрированной азотной кислоты (более 98%). Прежде чем кислота успевает растворить слишком много эпоксидного слоя и затвердеть, кислоту и смолу смывают ацетоном. Процедура повторяется от 5 до 10 раз, пока полностью не покажется кремниевая матрица. Производить подобное надругательство над чипом необходимо аккуратно, чтобы не повредить соединительную проводку, тогда он останется работоспособным.

Если процессор совершенно новый, придется создать карту его схем. Сейчас для этого обычно применяют оптический микроскоп и цифровую камеру, с помощью которых делают большую (размером в несколько метров) мозаику из снимков поверхности чипа высокого разрешения.

У большинства чипов имеется защитный поверхностный слой (пассивация) из оксида или нитрата кремния, который предохраняет их от излучений оборудования и диффузии ионов. Азотная кислота на него не действует, поэтому для его удаления специалисты используют сложный метод сухого травления. Но это не единственная возможность для доступа к поверхности.

Другим методом, особенно когда схема в целом известна, является использование игл-микропробников, которые с помощью ультразвуковой вибрации удаляют защитный слой непосредственно под точкой контакта. Кроме того, для локального удаления защитного слоя применяются лазерные резаки-микроскопы, используемые в лабораториях клеточной биологии.

Описанная техника вскрытия, которую, я надеюсь, ты не опух читать, успешно применяется любителями-крякерами. Именно любителями, так как технологии, описанные дальше, доступны только хорошо оснащенным лабораториям, которые занимаются изучением полупроводников. В мире насчитываются сотни таких лабораторий (к примеру, в университетах и промышленных исследовательских центрах). Наиболее продвинутые крякеры арендуют эту технику.

Исследование техники разрезания чипа ведет к более общей (и сравнительно менее изученной) проблеме — атакам, которые включают в себя активную модификацию исследуемого чипа, а не просто пассивное его исследование. К примеру, есть все основания полагать, что некоторые успешные атаки пиратов на систему платного телевидения проводились с использованием рабочих станций с фокусированием ионного пучка (Focused Ion Beam workstation — FIB). Такой аппарат может вырезать траки в металлизированном слое чипа и формировать новые траки или изолирующие слои. Кроме того, FIB может имплантировать ионы для изменения толщины слоя кремния и даже строить сквозные переходы к проводящим структурам в нижележащих слоях чипа. Такие аппараты стоят несколько миллионов долларов, но, как показывает практика, не слишком богатые злоумышленники арендуют дорогое оборудование на некоторое время у крупных полупроводниковых компаний.

Обеспеченные таким инструментарием атаки на смарт-карты становятся более простыми и мощными. Типичная атака заключается в отсоединении от шины почти всех процессов ЦПУ, кроме памяти EEPROM и той компоненты ЦПУ, что генерирует доступ по чтению. Например, программный счетчик может быть оставлен подсоединенным таким образом, что области памяти по порядку становятся доступны на считывание по мере подачи тактовых импульсов.

Как только это сделано, атакующему требуется лишь одна игла микропробника для считывания всего содержимого EEPROM. В результате процесс анализа становится более легким, чем при пассивном исследовании, когда обычно анализируется только трасса выполнения. Также это помогает избежать чисто механических трудностей одновременной работы с несколькими иглами-микропробниками на линиях шины, ширина которых составляет лишь несколько микрон.

Технологии индицирования сбоев (глитч-атаки)

В принципе, создателям вычислительной техники давно известно, что к инженерно-защищенным устройствам, типа смарт-карт, которые обычно малы и компактны, с целью вызова вычислительной ошибки можно применить некоторые уровни радиационного облучения или нагревания, подачу неправильного напряжения питания или нестандартную тактовую частоту. Известно также и то, что при возникновении сбоя в вычислениях компьютерное устройство может выдать информацию, полезную для восстановления секретных данных. Однако насколько серьезна эта угроза в действительности, долгое время мало кто подозревал.

В конце сентября 1996 года коллектив авторов из Bellcore (научно-исследовательский центр американской компании Bell) сообщил о том, что обнаружена серьезная потенциальная слабость общего характера в защищенных криптографических устройствах, в частности, в смарт-картах для электронных платежей (D. Boneh, R.A. DeMillo, R.J. Lipton: «On the Importance of Checking Cryptographic Protocols for Faults», www.demillo.com/PDF/smart.pdf ). Авторы назвали свой метод вскрытия «Криптоанализ при сбоях оборудования» (Cryptanalysis in the Presence of Hardware Faults). Суть же его в том, что, искусственно вызывая ошибку в работе электронной схемы с помощью ионизации или микроволнового облучения, а затем сравнивая сбойные значения на выходе устройства с заведомо правильными значениями, теоретически можно восстанавливать криптографическую информацию, хранящуюся в смарт-карте. Исследования ученых показали, что новой угрозе подвержены все устройства, использующие криптоалгоритмы с открытыми ключами для шифрования информации и аутентификации пользователя. Это могут быть смарт-карты, применяемые для хранения данных (например, электронных денег), SIM-карточки для сотовой телефонии, карточки, генерирующие электронные подписи или обеспечивающие аутентификацию пользователя при удаленном доступе к корпоративным сетям. Правда, разработанная в Bellcore атака была применима для вскрытия ключей исключительно в криптосхемах с открытым ключом — RSA, алгоритм цифровой подписи Рабина, схема идентификации Фиата-Шамира и т. д.

Главным результатом публикации работы Bellcore стало то, что к известной в узком кругу проблеме было привлечено внимание гораздо большего числа исследователей. И меньше чем через месяц после появления статьи Бонэ-ДеМилло (в октябре 1996 года) стало известно о разработке аналогичной теоретической атаки в отношении симметричных криптоалгоритмов, то есть шифров закрытия данных с общим секретным ключом. Новый метод был разработан знаменитым тандемом израильских криптографов Эли Бихамом и Ади Шамиром, получив название «Дифференциальный анализ искажений» (сокращенно ДАИ).

На примере самого распространенного блочного шифра DES эти авторы продемонстрировали, что в рамках той же "беллкоровской" модели сбоя в работе аппаратуры можно "вытащить" полный ключ DES из защищенной смарт-карты путем анализа менее 200 блоков шифртекста (блок DES — 8 байт). Более того, впоследствии появился еще ряд работ Бихама — Шамира с описанием методов извлечения ключа из смарт-карты в условиях, когда о реализованной внутри криптосхеме неизвестно практически ничего. Окончательную версию статьи с описанием этой работы утягивай с www.cs.technion.ac.il/users/wwwb/cgi-bin/tr-get.cgi/1997/CS/CS0910.revised.ps .

Анализ побочных каналов утечки информации

Летом 1998 года пришло известие еще об одном методе вскрытия смарт-карт, более чем успешно реализованном на практике. Совсем небольшая, состоящая из 4 человек консалтинговая криптофирма Cryptography Research из Сан-Франциско разработала чрезвычайно эффективный аналитический инструментарий для извлечения секретных ключей из криптографических устройств. Забавно, но, по словам главы фирмы Пола Кочера, исследователям "не удалось найти ни одной карты, которую нельзя было бы вскрыть".

При этом Кочер по образованию биолог, а хакерством занимался с детства как хобби. Не исключено, что именно биологическое образование помогло ему выработать собственный стиль анализа "черных ящиков", относясь к ним как к живым организмам и внимательно исследуя все доступные признаки их "жизнедеятельности".

Кочер и его коллеги, по сути, переизобрели секретные методы спецслужб и научились вскрывать защиту смарт-карт с помощью привлечения аппарата математической статистики и алгебраических методов исправления ошибок для анализа флуктуаций (небольшие колебания) в потреблении чипом электропитания. Делалось это примерно в течение полутора лет с 1996 по 1998 год, когда специалисты Cryptography Research выясняли, каким образом можно было бы повысить стойкость портативных криптографических жетонов, включая смарт-карты. Не предавая свои исследования широкой огласке, они знакомили сообщество производителей смарт-карт с разработанными в фирме видами атак, получившими названия "простой анализ питания" (ПАП) и "дифференциальный анализ питания" (ДАП). Если хочешь покопаться в этом направлении глубже, загляни по ссылочке www.cryptography.com/resources/whitepapers/DPA.html .

Вполне очевидно, что такие методы анализа заслуживают самого серьезного внимания, поскольку атаки такого рода можно проводить быстро и используя уже готовое оборудование ценой от нескольких сотен до нескольких тысяч долларов. Базовые же концепции новой методики вскрытия сформулированы в более ранней и довольно известной работе Пола Кочера "Криптоанализ на основе таймерной атаки" (в 1995 году — www.cryptography.com/resources/whitepapers/TimingAttacks.pdf ). В этой работе было продемонстрировано, что можно вскрывать криптоустройства, просто точно замеряя интервалы времени, которые требуются на обработку данных.

Что же касается ПАП-атак, то здесь аналитик непосредственно наблюдает за динамикой потребления энергии системой. Количество расходуемой энергии изменяется в зависимости от выполняемой микропроцессором инструкции, а для точного отслеживания флуктуаций в потреблении питания можно использовать чувствительный амперметр. Так выявляются большие блоки инструкций (циклы DES, операции RSA и т.п.), поскольку эти операции, выполняемые процессором, имеют внутри себя существенно различающиеся по виду фрагменты. При большем усилении удается выделять и отдельные инструкции. В то время как ПАП-атаки главным образом строятся на визуальном анализе с целью выделения значимых флуктуаций питания, значительно более эффективный метод ДАП построен на статистическом анализе и технологиях исправления ошибок для выделения информации, имеющей корреляции с секретными ключами.

Новые методы атак и считывания информации из памяти

В июне 2002 года был обнародован еще один метод вскрытия смарт-карт и защищенных микроконтроллеров, получивший название "optical fault induction attack" ("атака оптическим индуцированием сбоев" — www.cl.cam.ac.uk/

sps32/ches02-optofault.pdf ). Этот класс атак был обнаружен и исследован в Кембриджском университете аспирантом Сергеем Скоробогатовым (кстати, выпускником МИФИ 1997 года) и его руководителем Россом Андерсоном.

Суть метода в том, что сфокусированное освещение конкретного транзистора в электронной схеме стимулирует в нем проводимость, чем вызывается кратковременный сбой. Такого рода атаки оказываются довольно дешевыми и практичными, для них не требуется сложного и дорогого лазерного оборудования. Например, сами кембриджские исследователи в качестве мощного источника света использовали фотовспышку, купленную в магазине подержанных товаров за 20 фунтов стерлингов.

Для иллюстрации мощи новой атаки была разработана методика, позволяющая с помощью вспышки и микроскопа выставлять в нужное значение (0 или 1) любой бит в SRAM-памяти микроконтроллера. Методом "оптического зондирования" (optical probing) можно индуцировать сбои в работе криптографических алгоритмов или протоколов, а также вносить искажения в поток управляющих команд процессора. Понятно, что перечисленные возможности существенно расширяют уже известные "сбойные" методы вскрытия криптосхем и извлечения секретной информации из смарт-карт.

Индустрия, как обычно, пытается всячески принизить значимость нового метода вскрытия, поскольку он относится к классу разрушающих атак, сопровождающихся повреждением защитного слоя в чипе смарт-карты. Однако, по свидетельству Андерсона, злоумышленники могут обойтись и минимальным физическим вмешательством: кремний прозрачен в инфракрасном диапазоне, поэтому атаку можно проводить прямо через кремниевую подложку с задней стороны чипа, сняв лишь пластик. Используя же рентгеновское излучение, карту и вовсе можно оставить нетронутой.

Меры противодействия

Арсенал средств защиты смарт-карт на сегодняшний день весьма разнообразен. Разрушающим методам вскрытия могут противостоять емкостные датчики или оптические сенсоры под светонепроницаемой оболочкой (что крякеры давно научились обходить). Либо "специальный клей" — покрытие для чипов, которое не только непрозрачно и обладает проводимостью, но также надежно противостоит попыткам уничтожить его, обычно разрушая кремниевый слой, находящийся под ним. Такие покрытия относятся к федеральному стандарту США FIPS 140-1 и широко используются в американской военной промышленности, но повсеместно распространенными в быту их назвать нельзя.

Ряд недорогих и эффективных методов противодействия "дифференциальному анализу питания (ДАП)" и "дифференциальному анализу искажений (ДАИ)" известен по разработкам Cryptography Research. В частности, созданы особые аппаратные и программные методы, обеспечивающие значительно меньший уровень утечек компрометирующей информации, внесение шума в измерения, декоррелирование (разделение взаимозависимостей) внутренних переменных и секретных параметров, а также декоррелирование по времени криптографических операций.

Значительный ряд новых методов защиты предложен компьютерными лабораториями Лувена и Кембриджа ( www.dice.ucl.ac.be/crypto , www.cl.cam.ac.uk/Research/Security/tamper/ ). Суть одного из них, например, заключается в замене традиционных электронных схем самосинхронизирующейся "двухрельсовой" (dual-rail) схемой, где логические 1 и 0 не кодируются, как обычно, импульсами высокого (H) и низкого (L) напряжения в единственном проводнике, а представляются парой импульсов (HL или LH) в двух проводниках. В этом случае появление "нештатной" пары импульсов вида (HH) сразу становится сигналом тревоги, приводящим, как правило, к перезагрузке процессора.

Одно дело читать обо всех этих методах на бумаге и совсем другое — увидеть, как это работает реально. По свидетельству специалистов, открывающаяся картина действительно впечатляет. И стимулирует, конечно же, на поиск новых мер противодействия с еще большим рвением.

@xorninotes — мысли контент-менеджера, инсайды, преждевременная публикация постов из Greedy Life.

Если тебе нравится мой контент, задонать рогатке по кнопке ниже. От тысячи рублей хорошая скидка на рекламу!

Дамп карты и пин-кода.

Давайте, для начала, разберёмся, что есть дамп?
изъяснясь простым языком это информация которая записана на магнитной ленте карты, которая несет в себе данные. Именно эти данные (счет, остаток, пин, фио кардхолдера и тд) дают возможность снимать деньги с банкоматов и оплачивать покупки в магазине.

Приведу пример:

B4000001234567890^PETROV/IVAN^03101011123400567000000;;4000001234567890=031 01011123495679991

В этом примере B4000001234567890^PETROV/IVAN^03101011123400567000000 является информацией первого трека, а4000001234567890=03101011123495679991 — информация, занесенная во второй трек. Не стоит пытаться использовать алгоритм построения первого трека, используя данные со второго, так как приведенный выше пример является лишь наглядным пособием, и в разных банках используются разные шаблоны.
Теперь посмотрим пристальнее на первый трек: он начинается с латинской буквы В, которая указывает на то, что это банковская карта. 400000 123456789 0 — это так называемый номер карты или PAN, как его называют профессионалы, 400000 — BIN, по которому можно определить банк, эмитировавший карту, и тип самой кредитки, 123456789 — номер карты в банке.
Ноль в самом конце PAN’а является контрольной цифрой. ^PETROV/IVAN^ — имя владельца карты, кард-холдера. 0310 — экспайр карты, то есть та дата, до которой карта является действительной. В данном случае это октябрь 2003 года. 101 – сервис-код. Обычно он равняется 101. 1 — номер ключа, по которому зашифрован PIN-код карты. Нужен только при работе с банкоматом и при тех операциях, когда требуется PIN. 1234 — зашифрованное значение PIN-кода. Нужно оно в тех же случаях, что и номер ключа выше. 567 — CVV, проверочное значение для номера карты. Получается путем шифрования парой банковских ключей сервис-кода, PАN’а и экспайра. CVV2 получается тем же путем, только сервис-код заменяется нулями, из-за чего значения ЦВВ и ЦВВ2 отличаются друг от друга. Второй трек во многом схож с первым, но он является основным, и, имея его, можно построить информацию с первого трека.

Сама по себе креда, это белый пластик, который несет в себе функцию матрицы на которую заноситься инфа о дампе. Запись производится при помощи апарата МСР который можно купить сейчас примерно в свободной продаже стоит только погуглить.

Очень не приятно осознавать что в нашей жизни есть люд которые пытаются попасть в этот бизнес прочитав объявление "Продам Дамп + пин"

ЗАПОМНИТЕ: "Продам Дамп + пин" — КИДАЛОВО. люди которые реально могут достать дамп с пином, могут сами и снять деньги с карты. Поэтому продают только дампы.
Дампы продают как правило в виде треков, про которые писалось выше. Далее вы берете мср, записываете дамп на пластик и получаете готовую креду.

Как обналичить креду? Как правило по средствам шопинга. Шопинг в магазинах проходит очень легко если вам правильно продали карту. Правильно — это не просто загнали на болванку, а еще как минимум напечатали на карту рисунок и тд. Ведь согласитесь что с простым белым пластиком вы можете делать оналы либо в магазинах друзей либо дома )

И так способ обнала 1
Белый пластик. Идем к другу в магазин, покупаем что нить до 900 баксов например ноут там или телек. Друг ясно что в теме, доволен, получил свой откат дальше все проблемы его.

Плюсы: Не торопясь, не спалят продавцы, свой магазин.
Минусы: Много раз не повторишь, если к нему придут (а к нему придут) может вас сдать

Способ номер 2
Шопинг в обыкновенных магазинах. ну ту все просто, только придумайте как от камер прятаться и получать пластик уже с разрисованной картинкой

Плюсы: При постоянном изменении магазинов для шопа, меньше шанс спалится, да и люди вас не знают
Минусы: Камеры, не всегда проходят платежы, не всегда могут прислать пластик с картинкой

Способ номер 3
Сообственное ЧП с терминалом. Суть в общем проста, не мало фирм продают ЧП на левых людей, или вообще пропавших без вести. С такими ЧП удобно работать, так с вами его ничего не связывает. Все входящие деньги можно выводить чековыми книгами или корп картами. Стоит такое ЧП примерно 2-3к баксов, с пос терминалом, счетом, и открытым эквайрингом

Сейчас Приват Банк (Украина) предлагает пользователям мини терминал, который работает с телефонами Андроид и ИОС. Суть в том что вы можете принимать сами платежи на свою карту через этот терминал. Но про это на сайте банка.

Для правильной работы в этой теме я считаю необходимым иметь самому(-ой)

МСР
Пластик
Принтер для печати на пластике

При таком комплекте вы не палитесь с пересылкой карт, а просто получаете дамп в аське, не паритесь с белым пластиком а печатаете свое фото на карте сами. ну и вообще так куда удобней.

Реальный пластик

Внимание! Все, описанное в этой статье,
незаконно и попадает под юрисдикцию УК РФ.
Редакция настоятельно не рекомендует
использовать приведенные тут методы,
предоставляя информацию для общего
развития.

По многочисленным просьбам бойцов нашего невидимого фронта наконец-то выдаю на-гора небольшой обзор по поводу реального пластика. Надеюсь, что это слегка убавит количество вопросов, иногда просто достающих. Поэтому постараюсь все на пальцах и простыми словами.

Это дело не претендует на полноту охвата всего на свете по реальному пластику, а просто дает некоторые направления для размышления. И снова же – никаких готовых рецептов – жевать, глотать, и находить информацию придется самому. Под словом
«кредитки» в этой статье имеются в виду только VISA, MasterCard, JCB, Diners Club, Discover или AmEx, в то время, как дебитные карты и SMART-cards требуют отдельного подхода к снаряду.

Вначале некоторые термины, чтоб было понятнее для тех, кто не имел вообще дела с этим, а потом уже растекусь мыслию по древу:

• Дамп – это совокупность информации, которая записана на магнитной полосе кредитки. Дамп может состоять из траков 1, 2 и 3, или 1 и 2, или 2 и 3
• Трак или дорожка, дорога – это текстовый файл с определенной информацией, который записан на магнитную дорожку кредитной карты. Основную функциональную нагрузку несет Трак 2 или вторая дорога. Имея трак 2, можно вручную сделать Трак 1, на основании данных, имеющихся в Траке 2. Функционально для некоторых способов съема достаточно на карте записи только второй дорожки. Обычно же используют траки 1 и 2. Трак 3 используется разными финансовыми институтами на кредитных картах для записи какой-то дополнительной информации – например, если карта выдана Citibank-ом совместно с American Airlines, то на третей дороге может лежать информация о набранных очках по полетам на AA, и так далее. Для нас третья дорога не интересна.
• Для изготовления кредитных карт используются различные типы пластика, но в 90% случаев – так называемый CR-80, на котором делают в то же время и всякие пропуска, удостоверения, членские карты в казино и так далее. То есть он всемирно распространен
  и используется не только для изготовления кредиток.
• POS терминал – терминал для прокатывания кредиток при покупке чего-то там – в магазинах видели.
• Голубок и Глобус – на каждой кредитке VISA или MasterCard в настоящее время есть голограмма – на Визе голубь, на MC – полушария. Надо отдать должное, на AmEx пока нету голограммы (хотя есть на карте Optima – разновидность
  AmEx).
• Баланс не находится на кредитке. “Гы – братва, как бы перебить 100 баксов баланса на 10.000 на креде? Гы?” – это не я придумал, это вопросы такие задаются. Объясняю, что баланс НЕ НАХОДИТСЯ на кредитке, то есть деньги там физически не лежат. Кредитка является как бы пропуском к счету этой кредитки в том банке, который ее выдал. То есть кредитка просто производит идентификацию владельца счета – может ли он забрать деньги с того сундука, который стоит в банке.
• Где брать дампы? – четыре способа получения дампов на данный момент имеют место быть:

1. Покупаются, делаются, достаются ридеры – портативные на батарейках (как PMR-202, PMR-102, MSR300, MSR500, Smart Mag-DC), либо же стационарные, как AMC C722, MSR206 – и в зависимости от страны пребывания, опыта, круга знакомств раздаются агентам: валютным проституткам, кассирам в приличных магазинах, работникам кафе, гостиниц – везде, где есть иностранцы, которые платят кредами. Оплата этого труда колеблется от 10 долларов до 200 долларов за каждый собранный твоим агентом дамп.
2. Ломается очень крупный процессинговый центр банка, или процессинговой сети, через который проходят платежи физических, а не виртуальных магазинов, и всякого разного, и выдирается оттуда база данных.
3. Договариваетесь в банке с банкиром, который сидит именно на выдаче карт, или на их эмбоссировании, чтобы он Вам на дискетке в конце каждого рабочего дня давал все сделанные карты. Самый нереальный способ, но иногда встречается, особенно если у банкира отсутствует чувство самосохранения.
4. Просто покупаются дампы у тех, кто завладел ими одним из вышеуказанных способов.

Пойдем с начала – у Вас откуда-то взялся десяток дампов, и Вы откуда-то нарыли десяток чистых CR-80. Что
дальше? Пойдем от простого к сложному:

• Как упихнуть эти дампы на этот белый пластик, чтоб все было путем? Просто – для этого существуют писалки, или другими словами encoders (AMC C722, MSR206), присоединив который к компьютеру, и разобравшись с программой, Вы прокатываете белый чистый пластик сквозь энкодер, в результате чего на выходе имеете пластик с нанесенной магнитной полосой — дампом реальной кредитки. Другими словами, у Вас в руках магнитная копия. Если вдруг ваш агент, который снимал этот дамп у терпилы, напоил его до такой степени, что тот ему в экстазе выкрикнул PIN (или там в блокноте где нашел) – можете смело идти в банкомат и пытаться получить деньги. С большой вероятностью, если не было никаких подозрений при съеме дампа у хозяина, и он не подозревает, что с его карты сняли копию, Вы получите деньги – другое дело, что неизвестно какой там лимит, и есть ли на ней вообще деньги. Но, как показывает практика, PIN не кричат даже в экстазе. Таким образом, у Вас есть дубликат на белом пластике, с которым Вы, конечно, ни в магазин на углу не пойдете, ни в банкомат, так как ПИНа нету. Что ж делать? Снова – от простого к сложному. Сначала из серии быстро мелко
  спи. эээ, украсть и напиться пива: договариваетесь с продавцом в каком-то там магазине приличном, который карты принимает, что, мол, Вася, вот у меня такая херня есть, я приду к тебе, куплю ноутбук, его потом продадим, а деньги пополам. Это проходит. Для игроков более тяжелого веса – собирается чемодан такого пластика с записанными дампами, открывается контора (наверное, можно и в Союзе, не пробовали), начинает работать – продает каких то там пупсиков. Счет в банке, договор с банком, ставится POS терминал, и в один прекрасный момент прогоняется через него весь этот чемодан белого пластика. Деньги падают на счет. Забираете cash – и к девкам. Конечно, все не так просто, при начале любой такой темы надо внимательно изучить страну, банковскую систему, возможные подводные камни, систему безопасности банка (по каким признакам красные флажки выбрасываются), который ставил Вашей конторе “United Братва” этот терминал, сроки зачисления, возможность снятия денег, продумать пути отхода, само собой нельзя открывать такую контору на себя, просчитать затраты — много чего еще.
• Пойдем дальше – к более сложному. Изначально есть чистый CR-80 пластик и дампы. Как бы напечатать и сделать кредитку максимум один к одному? С такой кредой можно спокойно идти в любой магазин в любой стране, и кое-что еще, о чем ниже. Для начала надо купить готовый пластик с голубками или глобусом, либо же купить эти голограммы отдельно. Потом надо найти типографию, либо купить свое оборудование, которое позволит
  напечатать на чистом CR-80 пластике что-то красивое – причем практика показывает, что абсолютно все равно, какой банк там указан, и соответствует ли он реальному банку. Печать, понятно, двухсторонняя. Уделите особое внимание качеству голубка и глобуса – если что то с ними не так, это очень настораживает продавцов и банкиров. Напечатали с горем пополам. Теперь надо сделать эти вдавленные номер кредитки, имя, и прочее. Снова же – можете договориться с банкиром, который Вам это дело проэмбоссирует, либо покупайте оборудование сами. Дополнительно к этому всему надо на обратной стороне креды наклеить полоску особой бумаги, на которой ставится подпись владельца карты. Не прошло и полгода, а у Вас уже чемодан дубликатов кредиток, к которым никто не придерется. Какие варианты с чемоданом: если по шмоткам – покупаете билет в Сингапур, например, или в Преторию, и плотно там скупаетесь, пока не закончится чемодан. Потом как-то куда-то это все железо или серебро-золото пристраиваете, продаете, раздаете. Вариант два – дампу абсолютно до фени, какое имя Вы укажете на первой дороге – или реального владельца, или, допустим, имя, которое у Вас стоит во втором левом паспорте, например, купленном у BezNogi, или в интернейшнл правах. Можно вручную менять имя владельца карты внутри траков (дорожек). То есть в slip-e, который вылазит из POS терминала, будет выбито то имя, которое Вы сами сделали в дампе. Надеюсь, понятно, что точно так же Вам никто не мешает проэмбоссировать все карты с одним и тем же именем. Или, например, на 20-ти картах сделать Джона Смита, еще на 20-ти Моисея Абрамовича Петрова, и еще на 20-ти Бориса Березовского. Заказать паспорта на эти три имени с правами для надежности. И смело идти в Основной Крутейший Коммерческий Банк Иваново в том же Иваново или там в Union Bank of Switzerland в Цюрихе, и, предъявив паспорт и кредитку на то же имя, снять деньги с нее по максимуму. Наличными. Понятно, что въезжать в страну надо по другому паспорту, на всякий случай. Вообще все продумать. Сняли в одном банке – идете в другой с другой кредиткой на то же имя, и так далее. Меняете страну. И по новой. С другим паспортом и другими кредитками.
• Шура Балаганов был очень изумлен, когда Остап купил для конторы “Рога и Копыта” чернильный прибор. “Остап Ибрагимович, Вам не стыдно было платить за этот чернильный набор ЖИВЫЕ деньги?” Прав был Шура. Вариант третий – простой и классический. Тупо обзаводитесь левым паспортом. Тупо идете с ним все равно в какой банк и в какой стране, и так же тупо открываете счет с кредиткой. В результате на руках у Вас есть кредитка с именем Жени Соколова с 5-ю долларами на ней, есть паспорт на имя Жени Соколова с Вашей фотографией. Стираете на фиг все данные с магнитной полосы. Готовите дамп из тех, что у Вас есть – все равно чей и какой страны. Меняете в нем на треках имя на Женю Соколова. Пишете этот дамп на эту кредитку. И вперед – хоть в банк, хоть в магазин – все есть. Закончились деньги на этом дампе – стираете опять, готовите и записываете новый. И так, пока Женю Соколова не станут искать на всем земном шаре все банки и магазины. Тогда покупаете новый паспорт – и по кругу снова. Ну а если уже в лицо станут узнавать – то только пластическая операция тогда.

Устал я жать на клаву, так что закругляюсь. Приношу свои извинения всем, кто в курсе затронутых тем, за то, что я изложил в несколько упрощенном виде все это – статья ориентирована не на зубров, а на новичков в этом деле. Конечно же, тема бесконечная, со многими подводными камнями на каждом из этапов. Если кого задело за живое и охота взяться – направления ясны, ищите информацию по каждому из вопросов, изучайте матчасть, Read The Fucking Manuals, банковские системы, страны, языки, психологию общения, системы безопасности, — пространство для драки просто огромно. Ну а если кто из этого всего разжеванного ничего не понял, дак и хорошо, значит это не для Вас. Тоже ничего страшного – вон Каспаров Гарик в шахматы играет, хотя мог бы и кардингом заняться. И чувствует себя неплохо в финансовом отношении. Займитесь шахматами. Или шашками. Или обычным виртуальным кардиногом продолжайте заниматься.

И последнее замечание – если вдруг в очередной раз Вы где-то увидите, что кто-то продает дампы с PIN-ами – не верь глазам своим. Если Вы внимательно прочитали это дело сверху донизу, то, надеюсь, понятно, что дампы с ПИНами – это все равно, что cash в кармане. А что-то никто пока не продавал $100 за $20. Если $100 отпечатаны в Вашингтоне, конечно, а не в Грозном или Тегеране.

PS. Не забывайте, что практически во всех банкоматах установлена видеозаписывающая аппаратура.
И хранятся видеозаписи бесконечно долго — в зависимости от степени бардака в банке, которому принадлежит конкретная
ATM.

Антивирусная прав ДА! TM

• добавить в избранное
  

Особо опасное мошенничество: что такое кардинг?

25 января 2022

Многие хотя бы раз оплачивали интернет-покупки банковской картой. Причём если до пандемии коронавируса это было лишь одной из возможностей получить желаемый товар, то сегодня использование карты — гораздо более насущная необходимость. А некоторые настолько привыкли к новым технологиям, что не задумываясь оплачивают онлайн любые покупки. Кончилась каша на завтрак? Можно заказать. Нет мыла? Интернет-заказ. Захотелось новое полотенце? Ещё один заказ! При таком подходе существует риск рано или поздно забрести на мошеннический сайт. В таком случае банковские данные могут попасть в руки к кардерам. Здесь-то и начинается самое интересное.

Как кардеры получают наши данные?

Для начала определимся с термином «кардинг». Кардинг (от англ. carding) — это вид мошенничества, связанный с банковскими картами. Одна из распространённых схем, по которой действуют преступники, подразумевает массовую покупку «дампов» (от англ. dump — «свалка») — так на сленге называют информацию, записанную на магнитную полосу карт. Далее злоумышленники нелегально копируют данные на физические карточки-пустышки.

После всего этого у мошенника появляется подпольно изготовленная банковская карта, которой можно расплачиваться так же, как и обычной. Однако здесь могут возникнуть проблемы: например, владелец настоящей карты может заблокировать платёжное средство ещё до того, как кардер придёт в магазин. Или же кустарно сделанная карта откажет по техническим причинам.

В этой схеме пропущен один очень важный момент: возможно получить «дамп», не прибегая к покупке у третьих лиц. Для этого преступники используют скиммеры (от англ. skim — «снимать») — специальные съёмные устройства для аппаратов по выдаче и внесению денег. Впрочем, этот способ уходит в прошлое, поскольку всё чаще банки выпускают карты с чипами. Сегодня ими оснащены практически все российские карты.

Также не стоит забывать и про социальную инженерию. Конечно, «дамп» таким образом не получить, но зато можно выведать много «важной» информации. Порой злоумышленникам нужно получить дополнительные данные или уточнить правильность уже имеющихся. Так зародилась культура звонков фейковых сотрудников службы безопасности банка. Обычно мошенники используют различные легенды, чтобы выведать CVV2/CVC2-код, номер банковской карты, имя держателя, а также коды из СМС или онлайн-банкинга. Помните, что ни один настоящий сотрудник банка не будет выспрашивать у вас подобные данные. Реальный звонок из банка скорее всего будет связан с продвижением его услуг или соцопросом. Конечно, иногда из банка звонят по поводу заблокированной карты (уже после факта блокировки) и других случаев, но львиная доля «банковских звонков» всё-таки принадлежит мошенникам.

Зачастую, чтобы получить данные банковских карт с ваших устройств, мошенники используют различное вредоносное ПО. Один из самых распространенных методов — фишинговые сайты или рассылки. С помощью данных, полученных таким способом, нельзя изготовить поддельную пластиковую карту, а вот расплатиться в интернет-магазине — вполне реально. В таком случае мошеннику нужно будет придумать, как обойти двухфакторную аутентификацию, чтобы совершить покупку. Теме фишинга мы посвятили далеко не один выпуск, поэтому на этот раз не будем подробно на этом останавливаться.

Ещё один способ незаконно получить данные карты — PoS-трояны. Это вредоносное ПО, способное извлекать из памяти PoS-терминалов информацию о платёжных средствах.

Если же говорить о мобильных устройствах, то особенно осторожным стоит быть владельцам Android-девайсов. Существуют трояны, способные управлять приложениями онлайн-банкинга. Поймав такой однажды, пользователь рискует потерять все деньги. Летом мы подробно рассказывали про банковский троян Android.BankBot.Cooper, угрожавший жителям Колумбии. Спасти от подобных угроз может вовремя обновлённый Dr.Web.

Как мошенники пытаются обналичить денежные средства?

Традиционно кардинг считается одним из самых изученных видов современного мошенничества. На самом деле эта индустрия куда сложнее и глубже, чем просто «украсть дамп, записать карту, расплатиться в магазине». Мошенники могут совершить множество ошибок и попасться. Покупка «дампов» — опасное дело, а изготовление поддельных банковских карт — преступление, которое классифицируются как «Неправомерный оборот средств платежей» (ч. 1 ст.187 УК РФ). В случае поимки злоумышленник будет наказан принудительными работами на срок до пяти лет, либо лишением свободы на срок до шести лет со штрафом в размере от ста тысяч до трехсот тысяч рублей.

Стоит отметить, что не все мошенники в одиночку исполняют все действия описанной схемы. Многие из них останавливаются на первом этапе, после чего продают полученные данные в даркнете. Там их покупает уже другой человек, имеющий аппарат по изготовлению поддельных пластиковых карт, а обналичивает деньги третий участник схемы, так называемый «дроп» (от англ. drop — «выбрасывать»). Зачастую последнее звено — самое уязвимое, а потому в роли «дропа» оказываются подростки, студенты или маргиналы. Те, кому срочно нужны деньги.

Поймать преступника на первых двух этапах достаточно сложно, а вот «дропа» можно взять с поличным. Правда, скорее всего этот человек не выдаст никакой ценной информации о своих «работодателях» просто потому, что не знает ничего по-настоящему важного. «Дроп» — разменная монета в мире кардинга. Их вербуют точно так же, как и тех, кто оставляет закладки с наркотиками, — мошенники создают объявления в тематических чатах и форумах. Важно не только самому вовремя распознать криминальную схему, но и уберечь детей от потенциального преступления. Молодые ребята не всегда правильно оценивают риски, а потому могут, сами того не зная, стать «дропом».

Внимательно следите за тем, где остаются данные вашей банковской карты. Возможно, браузер автоматически сохранил их все, включая даже CVV2/CVC2-код. Очистить эту информацию можно в настройках. У каждого браузера свои особенности, но общие рекомендации дать по этому поводу можно следующие: откройте «Настройки» и выберите «Очистить данные», после чего отметьте пункт, похожий на «Пароли и другие данные для входа». Так вы сможете заставить браузер «забыть» данные вашей банковской карты. Следуйте советам «Антивирусной правды», но помните, что безопасность ваших средств зависит только от вас.