Так ли легко подобрать cvc/cvv?

Question

[mitaichik]

Всем привет! Вчера я дебажил кое-какой код, который выполняется при вводе неверных банковских данных при оплате товара.

В процессе дебага я раз 150 вводил неверные данные, из которых раз 30 - неверный CVV. При этом с моей картой (одного из крупнейших российских банков) ничего не случилось, ее не заблокировали.

Поэтому возник вопрос: Неужели банки не блокируют карты при брутфорсе CVV? Зачем тогда PSI DSS запрещает его хранить, если его так просто взломать?

Comments

[D']

Т.е ты тестировал СВОЕЙ картой? У вашего биллинга нету специальных карт?)

[mitaichik]

D' Normalization: Долгая история почему так, но в целом да - на своей реальной карте

[D']

mitaichik: вообще это плохая идея. На своей карте можно 1 раз в конце проверить что транзакция проходит. А вообще биллинг должен дать спец. карты для таких проверок (валидная, не валидная, заблокированная и т.д)

[D']

mitaichik: или биллинг может дать тестовый аккаунт, который не делает реальных запросов. Может у вас такой?

[Александр]

А если бы блокировалось - то это поле для мошенничества. Так можно было бы заблокировать любую карту зная ее номер и шантажировать владельца блокировкой, но это не так.

[Игорь]

Александр: вы запросто можете заблокировать любую карту по её номеру если позвоните в службу поддержки этоого банка, вас даже не спросят вы ли владелец

[mitaichik]

D' Normalization: Не, на тестовом аккаунте с тестовой картой все работает отлично, определенные проблемы возникали на продакшене и с реальными картами в редких случаях если пользователь ввел неверные данные. Проблема уже решена, просто удивило что банк (проект мой поэтому я и юзал свою карту) не блокирнул меня через некоторое кол-во неуспешных попыток ввести неправильный cvv. Возможно я не попадал под лимиты, ибо вводил попытки были распределены на несколько часов. Возможно банк не счел это брутфорсом, потому что я вводил всего около 10 различных не правильных комбинаций. Возможно не блокирнули потому что я успешно проходил проверку 3D Secure. Но хз, я б на месте банков блокировал спустя 3 проваленных попытки.

[Дмитрий]

Игорь: В европейских банках требуют секретный код. без него ничего не выйдет

[Игорь]

Дмитрий: Если вы нашли карту на улице, вы можете позвонить в банк и сказать "ой я карту нашёл"..и её заблокируют, это правила МПС

Answer 1

[DaNHell]

Дмитрий: заблуждаетесь) в России только жулик возвращает средства потерпевшим, в USA возвращает банк. Даже больше скажу в РФ иногда даже заставляют заяву накатать потерпевшего, хотя он может быть вообще не осведомлен и жить спокойно не заметив пропавшей суммы. Ну "очень" логичные объяснительные в таких случаях пишут... аля мне позвонил сотрудник бстм, сообщил, я проверил средства, это все спустя месяц +. И заканчивается всегда "ущерб был для меня значительный".
Вообщем то больше зависит от самого клиента, кому надо - то вернет, под суетится.

По бруту, почему бы и нет? много bottle neck'ов в хорошем смысле по сей день разбросано, на глупость головной коробки девелоперов, или на радость грамотным ресёрчерам)

Уверен, у простого человека при всем желании не получится его брутфорсить. Таймауты, бан IP, ограничение попыток ввода.
CVC/CVV не брутфорсят - его тупо крадут используя наивность и глупость пользователя, фишинг, инъекции и прочие механизмы.

Выходит я - робот, или марсианин. Вопрос не "ЧТО" (в данном случае сбрутить) нужно задавать, а именно "КАК".

на 3х летнем опыте в самой любимой и для меня полностью, неконкурентной, сфере - как "bruteforce", половину из решений в десятки раз сложнее были по сравнению с данной задачкой ... учитывая что кол-во не типичных и абсолютно разных решений переваливает за 2000...

p.s. понятное дело на прямую в процессинг тебя быстренько пошлют. как всегда говорю - комплексный подход.. всегда найдется выход...

Comments

[Дмитрий]

Не понятно зачем меня отметили. Но я говорил про ЕС. И я говорил не про украденные деньги . а то что если клиент оплатил услугу бронирование чего-то . то ему тяжело сделать возврат денег. Если он начнет возвращать. наш банк будет расследовать это. А если оплатил мошенник, то это уже другой разговор

[DaNHell]

Дмитрий: я тоже говорю
про украденные деньги, к сожалению грешок за мной случился с хожей ситуцией во время не документированного тестирования системы авторизации клиентов банка "N".
Но также я европеец по своему родству,но не могу точнл сказать как в ЕС данный момент дела со всем этим.
Отметил по причине - интересное мнение, интересный человек по моему мнению