A violação de cartões-presente é um tipo de ataque de força bruta no qual os invasores verificam milhões de variações de números de cartões-presente em uma aplicação de cartão-presente para identificar os números dos cartões com valor. Depois que o invasor identifica os números do cartão com saldos positivos, ele usa ou vende o cartão-presente antes que o cliente legítimo tenha a chance de usá-lo.
O Distributed Cloud Bot Defense da F5 protege as aplicações de cartões-presente on-line contra solicitações automatizadas. Nenhum cliente real usa automação na aplicação e, sem bots, a violação de cartões-presente se torna uma opção pouco atraente para invasores com motivação financeira.
98,5%
DE TODO O TRÁFEGO NA APLICAÇÃO WEB DE SALDO DE CARTÃO-PRESENTE DO VAREJISTA DE LUXO FOI AUTOMATIZADO.
O invasor pode pegar alguns cartões-presente físicos descarregados de uma loja física para ver se o emissor do cartão-presente confia em padrões de numeração sequencial. Essa não é uma etapa necessária, mas aumenta a eficiência do invasor; por exemplo, pode ser que apenas os 8 dígitos do meio de um número de série de 16 dígitos precisem ser quebrados, ao contrário de todos os 16.
Às vezes, uma aplicação Web ou móvel ajuda inadvertidamente o invasor a estreitar o campo de possibilidades ao fornecer feedback quando um número inválido é inserido, por exemplo, “todos os números de cartões-presente eletrônicos começam com o dígito 2”.
O invasor escreve um script para testar todas as variações possíveis de número de cartão-presente com base na amostra adquirida na Etapa 1, até que um número suficiente de correspondências seja encontrado. Os invasores podem incorporar ferramentas como o Burp Suite em suas táticas.
A F5 observou um aumento na violação de cartões-presente durante a temporada de festas, pois é quando a maioria dos cartões-presente é comprada e ativada.
Os invasores usarão os próprios cartões para comprar produtos para revenda ou vendê-los on-line por meio de um mercado como Raise.com.