הסברה: כיצד מתבצעות גניבות כרטיסי אשראי ממאגרי מידע באינטרנט

ביום שכזה, בו דאגת רבים מאזרחי מדינת ישראל נעה בין פחד מאובדן כספים מחשבון הבנק ועד חוסר אמון בסחר מקוון, אנו מאמינים כי חשוב להסביר כיצד גניבות אשראי מתבצעות, ואיך ניתן למנוע אותן.

ראשית, נציין כי פשיעה קיברנטי (Cyber-Crime), כלומר פשיעה אינטרנטית, דומה במאפיינים רבים לפשיעה ה"קלאסית" שאנחנו מכירים. במקום שבו נמצא כסף או משאב מוגבל אחר אשר אנשים רבים רוצים, נמצא את אלו שמנסים "לרמות" ולהשיג אותו בצורות לא לגיטימיות, ולעיתים אף באלימות. קשה לומר האם פשיעה זו מסוכנת יותר או מסוכנת פחות מפשיעה "קלאסית" והתשובה כמובן תלויה בהגדרה של "הסכנה". עם זאת, באמצעות אימוץ התנהגות צרכנית נבונה, והתנהלות תקינה של הגופים האוגרים את המידע האישי שלנו, ניתן לצמצם באופן משמעותי את ממדי התופעה.

כדי להבין את האירוע האחרון בצורה טובה יותר, נצטרך להבין כיצד אתרים אלו פועלים. לאחר שמלאנו את פרטי כרטיס האשראי שלנו ואת פרטינו האישיים באתר אינטרנט כזה או אחר, הנתונים עוברים באמצעות האינטרנט אל בעל האתר אשר מבצע אגירה שלהם ב"מסד נתונים" (Data Base). מסד נתונים הוא מעין טבלה גדולה המסודרת על פי קריטריונים מסוימים ומאפשרת לאתר האינטרנט ולמערכות נוספות, גישה פשוטה ומהירה לנתונים.
ובקצרה, הנתונים שלנו נמצאים תחילה במחשב שלנו, לאחר מכן עוברים באינטרנט ולאחר מכן נשמרים במאגר המידע של האתר.

בכל אחד מהשלבים קיימת סכנה לגניבת המידע. לדוגמה, אם על המחשב שלנו קיימת תוכנה זדונית ("וירוס") המיועדת למצוא פרטי כרטיס אשראי, יתכן והמידע הרגיש יועבר לפושעים, גם אם האתר מולו ביצענו את העסקה יהיה מאובטח לחלוטין. עם זאת, על פי הערכות, מקור האירועים האחרונים של גניבת כרטיסי האשראי הייתה בפריצה למסדי הנתונים של אתרי אינטרנט ישראלים, כלומר, בשלב האחרון בשרשרת.

כיצד מתבצעת פריצה למסדי נתונים

לצורך פריצת מסדי נתונים, פושעים משתמשים בכמה שיטות, אולם אחת השיטות הנפוצות ביותר בסוג זה של אירועים היא מתקפה בשם SQL Injection. במתקפה זו, התוקף מצליח לנצל בעיית אבטחה באתר האינטרנט כדי לתקשר באופן ישיר עם מסד הנתונים. ניתן להמשיל זאת לגנב אשר הצליח לחמוק מאחורי עובדי בית העסק, אל מגירות תיקי הלקוחות ולהעתיק מהם מידע כרצונו.
מתקפות אלו ניתנות למניעה בשתי דרכים עיקריות

  1. שיפור אבטחת האתר אשר תמנע מאותם הפושעים לתקשר באופן ישיר עם מאגר המידע הרגיש.
  2. אגירת מידע בצורה מאובטחת ומוצפנת. בצורה זו, גם אם פורץ יצליח לחדור למסד הנתונים, יהיה לו קשה, עד בלתי אפשרי, לנצל את המידע שנגנב.

כאשר אירועים של גניבת כרטיסי אשראי המונית מתרחשת, מתעורר לרוב החשד כי בעלי האתר כשלו הן באבטחת האתר והן באבטחת מאגר המידע.

כיצד אנו כלקוחות יכולים להיזהר
ראשית, אין צורך לוותר על רכישות מקוונות מאתרי אינטרנט. בשורה התחתונה מדובר בצורת מסחר בטוחה ויעילה. גניבות והונאות מתבצעות גם בסחר לא מקוון, ועשויות להיות חמורות יותר כאשר התשלום נעשה באמצעות כסף מזומן.

ובכל זאת, ריכזנו עבורכם מספר טיפים לקניות מקוונות בטוחות יותר:

  • השתדלו למסור את המידע המינימאלי הנדרש. אם השם האמצעי, תאריך הלידה או הכתובת אינם הכרחיים, אל תנדבו אותם.
  • היזהרו במיוחד מאתרים אשר אינם עושים שימוש בהצפנת SSL. אומנם שימוש ב-SSL אינו אומר בהכרח כי הנתונים נאגרים בצורה מוצפנת, אך אי שימוש ב-SSL הוא לרוב דגל שחור אשר מצביע כי האבטחה באתר ירודה.
    בעתיד הקרוב נפרסם הסבר מעמיק יותר על הצפנה זו, ועל הדרכים לזהות האם היא נמצאת או לא נמצאת בשימוש.
  • היזהרו מאתרים הנראים חובבניים. לעיתים, עיצוב מרושל מעיד על רשלנויות נוספות הנסתרות מעינינו. העדיפו לשלם באמצעות שירותים מסוג Paypal או Google Ceckout. בשירותים אלו, מזהה הלקוח אינו מספיק לצורך גניבה, ולכן הם נחשבים לבטוחים יותר.
  • במידה ולא ניתן לשלם באמצעות שירותים מסוג Paypal, העדיפו לשלם באמצעות כרטיס אשראי יחיד. כך תוכלו לעקוב בצורה נוחה יותר אחר החיובים ולזהות הונאות (או טעויות).
  • היזהרו מאתרים מפוקפקים. אתרי הימורים ופורנוגרפיה הם מטרה פופולאריות עבור פושעים מקוונים.

יש לציין כי הניסיון מלמד שגם אם נוקטים בכל האמצעים הללו, לעיתים נגנבים פרטים אישיים, כולל פרטי כרטיס אשראי. לצערנו אין אנו יכולים להיות מוגנים לחלוטין בפני אירועים כאלו, כיוון שהמידע נמצא מחוץ לשליטתנו. עם זאת, כמו שכבר ציינו, סכנה שכזאת קיימת גם בעולם הלא מקוון ואינה ייחודית לסחר אלקטרוני. מסיבה זו אנו ממליצים לא להשתמש בסיסמה קבועה לכל שירותי האינטרנט בהם אתם משתמשים, ולבדוק היטב את חיוב כרטיס האשראי שלכם.

בעקבות אירועי גניבת האשראי הגדולה מה-3.1.12 יצרנו עבורכם מערכת פשוטה אשר תעזור לכם לבדוק האם מספר כרטיס האשראי שלכם נגנב.
שימו לב כי מערכות בדיקה מסוג זה אשר הופיעו באתרים רבים מאז הפריצה, עשויות בעצמן להוות איום אבטחתי. מסיבה זו, במערכת שאנחנו מספקים אין צורך להזין את מספר כרטיס האשראי במלואו או פרטים מזהים נוספים.
בנוסף, מאגר המידע אינו שמור בצורה גלויה על שרתינו אלא בצורה מאובטחת.

במידה ופרטי כרטיס האשראי שלכם נגנבו או נוצלו במסגרת האירוע האחרון או באירוע אחר, הודיעו על כך במהרה לחברת כרטיס האשראי. לרוב, כאשר דיווח זה מגיע לחברת האשראי בתוך 30 יום, כספכם יוחזר לכם.

בניגוד לפרסום חברות האשראי אנו ממליצים לכם לבדוק בעצמכם האם כרטיס האשראי שלכם נגנב או נוצל, ולא לחכות לפניה של חברת האשראי. יחד עם זאת, במידה והכרטיס שלכם לא מופיע במאגר הכרטיסים הגנובים, אין אנו רואים סיבה לפנות לחברת כרטיסי האשראי וליצור עומסים מיותרים על מוקדי הפניות. שימו לב שרשימות הכרטיסים הגנובים רלוונטית אך ורק לסדרת פריצות האחרונה. פרטי כרטיסים אשר נגנבו בעבר או ייגנבו בעתיד, לא מופיעים או יופיעו ברשימה זו.

בדיקה פשוטה ומאובטחת לחשיפה לפריצות כרטיסי האשראי

עדכון: הוספנו את מספרי כרטיסי האשראי שדלפו היום (ה-5.1.2012).
המנגנון כרגע בודק מול כ-30 אלף מספרים שונים.

העמדנו לרשותכם מנגנון בדיקה פשוט ומאובטח להצלבת מספר כרטיס אשראי למול מסד הנתונים שנגנב ממספר אתרים ישראליים ופורסם ב-3.1.2012. המנגנון אינו מכיל את מספרי כרטיסי האשראי באתר שלנו – אלא מאפשר לבדוק את 6 הספרות האחרונות של הכרטיס שלכם למול hash (פונקציה מתימטית חד כיוונית) של כרטיסי האשראי שנגנבו. בכך נמנע הצורך לספק לאתר מידע רגיש. כמו כן, איננו שומרים את המידע שנבדק. פרטים על האופן בו מתבצעת הבדיקה:

  1. הנתונים שנחשפו עקב הפריצה אוגדו, ונסרקו לכל מספרי כרטיסי האשראי שנמצאו בהם (כל שדה רלוונטי, המכיל מספר בפורמט של כרטיס אשראי).
  2. סך כל המספרים אוחדו לקובץ בודד (המכיל כ-18594 מספרים ייחודיים – כולל מספרים "לא חוקיים" כמו 0000000000000000).
  3. מהקובץ הנ"ל נחתכו עיקר המספרים החוקיים, והושארו אך ורק 6 הספרות האחרונות מכל מספר.
  4. כל מספר (בן 6 ספרות) עבר תהליך גיבוב (hashing) בו הוא מופה באופן מאובטח למחרוזת של מספרים ואותיות ייחודית. התהליך בוצע תו"כ שימוש ב"זרע" (seed) על מנת לאבטח את התהליך.
  5. הבדיקה באתר מתבצעת מול מסד נתונים המכיל את ערכי הגיבוב (שלא ניתן להגיע מהם ל-6 המספרים המקוריים). כאשר מוזן מספר לבדיקה באתר, הוא עובר תהליך גיבוב זהה (וחד כווני כאמור), ומושווה לרשימה שבאתר. באופן זה אין חשיפה של כלל המספרים שנפרצו, ואין צורך לחשוף מידע אישי מיותר כמו כתובות דואר אלקטרוני או את מספר כרטיס האשראי המלא.

 

תחילת פעילות

ברוכים הבאים לאתר של IL-CERT.

IL-CERT הינן גוף עצמאי אזרחי המטפל בארועי אבטחת מידע בישראל שאינם נמצאים תחת סמכותן של תהיל"ה (ILCERT-GOV), או מחב"א (ILAN-CERT).

באתר זה ניתן לדווח על ארועי אבטחת מידע המשפיעים על כל גוף בישראל (בהתאם לצורך הטיפול יועבר לתהיל"ה או מחב"א).