新闻快讯
< >

万事达卡系统存在严重bug,黑客将能够通过无效付款交易作为绝对合法的付款证明

依靠Mastercard的互联网网关服务(MIGS)处理在线支付的供应商,应在每次交易发货之前对每个交易进行双重检查,因为独立安全研究员Yohanes Nugroho在MIGS协议中发现了一个明显的缺陷,允许黑客欺骗支付系统,并且欺骗商家认为交易成功。Yohanes Nugroho认为安全系统的验证协议存在严重的缺陷,而且Mastercard似乎完全忽视了这一问题。

万事达卡系统存在严重bug,黑客将能够通过无效付款交易作为绝对合法的付款证明-E安全

Yohanes Nugroho解释说:“这可以说是一个MIGS客户端错误,但是Mastercard选择的哈希方法允许这样做。” “如果Mastercard选择加密相关数据,这个问题是不可能发生的。”根据Nugroho的调查结果,狡猾的攻击者可以利用这个缺点,在第三方中间支付服务中注入无效值,以便绕过Mastercard的系统,直接将请求转交给供应商。

正如Yohanes Nugroho观察到的那样,交易是否成功的数据不仅没有被MIGS服务器进行验证,而且甚至没有到达商家服务器端,这些请求仅在客户端进行检查。由于这些数据永远不会到达Mastercard的服务器,所以仍然容易受到欺骗。

这意味着,如果成功,黑客将能够通过无效付款交易作为绝对合法的付款证明。虽然商家仍然需要确认交易,但大多数商家在批准请求之前很少检查其银行帐户,这正是为什么这个漏洞是如此令人担忧的原因。

相关阅读:

万事达启动“用你自己替代密码”计划
Visa和万事达启用统一安全标准来取代安全码
灰色产业链:网售银行卡800元/套,商家称曾卖电信诈骗团伙
银行卡盗刷黑产:一天发3万木马短信,月入可达十几万
安卓系统现恶意软件 开启电筒致银行卡密码(移动支付)泄露
犯罪分子开挂 不需要银行卡也能从ATM机取钱(视频演示)
印度320万张银行卡数据疑外泄 部分在大陆遭盗刷

文章来源:cnbeta  原文地址:http://www.cnbeta.com/articles/tech/649117.htm 原文标题:安全人员发现万事达卡系统存在严重bug 允许黑客进行付款欺诈