Trend Micro предупреждает об уязвимостях в сбросе пароля в 3DS "Verified By Visa"

Trend Micro предупреждает об уязвимостях в сбросе пароля в 3DS "Verified By Visa"

Trend Micro призвала к обновлению системы аутентификации кредитных карт 3 Domain Secure (3DS) после того, как компания обнаружила, что кибер-преступники могут воспользоваться фундаментальной уязвимостью в некоторых версиях протокола.



Рик Фергюсон, директор по исследованиям в области безопасности Trend Micro EMEA, пояснил в своем блоге, что система 3DS, названная Verified By Visa и MasterCard SecureCode в Великобритании, может быть взломана мошенниками, воспользовавшимися лазейкой в процессе сброса пароля в некоторых версиях системы.

Фергюсон сказал, что страница сброса пароля системы верификации Verified by Visa запрашивает три элемента информации, которые содержатся на карте, и четвертый, который киберпреступники могут легко раздобыть, сообщает xakep.ru.

"Три из четырех элементов информации, которые удостоверяют мою личность, содержатся на самой карточке, вытисненные или напечатанные на поверхности, или записанные на магнитной полоске. Но разве преступник уже не имеет ко всему этому доступ?", - спрашивает он.

"Так что же остается? Только один элемент информации карточка не содержит. Проблема в том, что эта информация широко доступна в социальных сетях, регистрационных данных на сайтах и в миллионе других мест. Мы не можем и не должны считать секретной такую информацию, как дата рождения ".

Хуже того, как только однажды произошёл сброс пароля и мошенник получил возможность воспользоваться карточкой, владельцу счета не высылается никаких оповещений об изменениях.

Фергюсон рекомендует внести несколько основных изменений в систему, чтобы сделать её более безопасной.

"После регистрации в системе, держателям карт следует установить секретный вопрос, который в будущем будет служить в качестве данных аутентификации для изменения пароля. Вместо того, чтобы просто работать на сайте, URL сброса пароля должен быть доставлен на зарегистрированный адрес электронной почты", - сказал он.

"Всякий раз, когда запрашивается изменение для реквизитов счета или же эти изменения были успешно выполнены, на зарегистрированный адрес электронной почты должно приходить уведомление. Пожалуйста было бы действительно здорово, если бы я мог использовать специальные символы для своего пароля".

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Цены на теневой пробив растут: до 30 тыс. за досье и 37 тыс. за геолокацию

Средняя стоимость персональных данных продолжила расти: за 2025 год она увеличилась на 4,5%. При этом каждое четвертое предложение на рынке является мошенническим. Более чем в 21% случаев продавцы обещают предоставить полное досье на выбранного человека.

Такие данные приводит «Коммерсантъ» со ссылкой на исследование BI.ZONE Digital Risk Protection, основанное на анализе 3,5 тыс. объявлений на теневых площадках.

Руководитель подразделения BI.ZONE Дмитрий Кирюшкин отметил, что рост цен во многом связан с увеличением доли комплексных «пакетных» досье, которые предлагаются по более высоким тарифам. В то же время каждое четвертое объявление — мошенническое: продавцы просто перестают выходить на связь после получения оплаты.

Эксперты выделяют три основных сегмента теневого рынка пробива. Базовая проверка — например, установление ФИО и даты рождения по номеру телефона или адресу электронной почты — стоит 100–500 рублей. Самый массовый сегмент в диапазоне 1 000–1 500 рублей предлагает уже значительно более подробные досье, включая сведения из закрытых реестров.

Цена «досье под ключ», которое может включать данные о зарегистрированных компаниях, пересечении границы, банковских операциях и других сведениях, достигает 30 тыс. рублей и более. При этом в этом сегменте наблюдается значительный разброс цен.

Самыми дорогими услугами, по оценке BI.ZONE, остаются нелегальные данные о геолокации пользователя и детализация звонков и СМС. Журнал вызовов стоит от 22 тыс. рублей, разовое определение местоположения («вспышка») — около 30 тыс., а определение геолокации при каждом звонке обойдется в среднем в 37 тыс. рублей.

По оценкам F6, стоимость таких услуг может быть ещё выше — до 120 тыс. рублей. Эксперты также отмечают, что в 2025 году цены выросли на 91% после падения в 2024 году.

Операторы МегаФон и Т2 связывают повышение стоимости нелегального пробива с усилением мер по защите данных. Сегодня выгрузка информации сотрудниками либо невозможна, либо максимально затруднена, а рабочие зоны находятся под постоянным видеонаблюдением. Это позволяет оперативно пресекать попытки получить доступ к данным.

В то же время основатель сервиса DLBI Ашот Оганесян отмечает, что большинство владельцев ресурсов, занимавшихся пробивом и находившихся в России, по разным причинам прекратили работу. Остались площадки, расположенные за рубежом. А зарубежные сервисы, включая Telegram, реагируют на запросы о блокировке ботов-пробивщиков и каналов, торгующих базами данных, довольно «расслабленно».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru