Get best of the week

Conferência DEFCON 27. Reconhecimento de fraudes na Internet

Comentários do briefing:

Atualmente, Nina Collars, também conhecida como Kitty Hegemon, está escrevendo um livro sobre as contribuições dos hackers à segurança nacional. Ela é uma cientista política envolvida em pesquisas sobre a adaptação tecnológica de usuários a vários dispositivos cibernéticos. Collars é professor do Departamento de Estudos Estratégicos e Operacionais do Naval College e trabalhou na Divisão de Pesquisa Federal da Biblioteca do Congresso dos EUA, no Departamento de Estudos Afro-Americanos da Universidade de Harvard, no Banco Mundial, na Central Anti-Brilho e à noite como voluntário do BSides. Como hobby, ela já liderou o grupo de charutos, scotch e estratégia da DC e ainda é especialista em bourbon certificado.



Olá, sou Kitty, mas no trabalho as pessoas costumam me chamar de Nina. Antes de iniciar minha apresentação, direi que a opinião aqui expressa não coincide necessariamente com a opinião da Marinha, do Departamento de Defesa ou do governo dos EUA. Devo dizer isso porque sou tecnicamente funcionário federal, pois trabalho como professor no Naval College, no Departamento de Pesquisa Estratégica e Operacional. Isso significa que estou estudando as mais recentes tecnologias e como elas afetam as operações e a defesa militares, que incluirão elementos da cibernética. Essa é uma das razões pelas quais estou assistindo a comunidade DefCon. No entanto, o que vou falar hoje não tem nada a ver com a indústria militar.

Então, em agosto passado, comprei uma máquina de café Nespresso usada e queria vir aqui e contar o que aconteceu depois disso. Como você sabe, máquinas de café e cápsulas são compradas principalmente online. Existem várias butiques da Nespresso em todo o país, mas, em geral, você pode comprar seu café para máquinas Nespresso diretamente no site da empresa. Depois de comprar um carro usado, percebi que as cápsulas de café no site da Nespresso são muito caras e decidi procurar um vendedor mais barato.



Descobriu-se que em um leilão do eBay você pode comprar café muito mais barato - o preço das cápsulas era cerca da metade do que eu teria que pagar quando comprasse diretamente da Nespresso. O único inconveniente foi que você teve que comprar pelo menos 200 cápsulas de uma só vez, mas como eu bebo muito café, isso não me incomodou muito e fiz minha aposta em um lote de cápsulas. Quando o leilão terminou, vi que ganhei e paguei a compra pelo PayPal.
Cerca de uma semana depois, as mercadorias foram entregues a mim. Imagine minha surpresa quando, juntamente com caixas de café, eles me entregaram uma caixa com uma máquina de café completamente nova. Era o modelo compacto mais popular de uma máquina de café Nespresso Pixie por US $ 280, que usa pequenos "comprimidos" de café a um preço de 70 centavos de dólar cada.

Eu pensei que estava simplesmente enganado ao fazer o pedido e retornei ao eBay para verificar se havia pressionado algo extra lá e comprado por acaso. No entanto, não encontrei nada parecido.

Então olhei para as etiquetas nas caixas e vi que as cápsulas e a máquina de café eram do mesmo remetente, e o mais estranho era que o remetente era a própria Nespresso. No entanto, não pedi as mercadorias ao fabricante, mas a terceiros!



Voltei ao eBay novamente para ver os detalhes da transação e compará-los com a fatura, e descobri que o nome do vendedor no eBay, vamos chamá-la de Sue de Chicago, não se parece com o nome do remetente na conta da Nespresso, vamos chamá-lo de George de Pokeepsi. Além disso, Sue, de Chicago, tinha uma classificação de vendedor zero e criou sua conta apenas algumas semanas antes do pedido. A única coisa que ela estava vendendo era café Nespresso.

Eu pensei que parecia uma farsa, então decidi lidar com o problema e liguei para a Nespresso. Muito relutante, porque sou um pouco ganancioso e não me importaria de deixar esta máquina de café para mim. Expliquei ao suporte ao cliente que não pedi o carro, mas pedi apenas cápsulas e as comprei não da Nespresso, mas de um vendedor de terceiros no eBay. Eles me confirmaram que o dinheiro dos dois itens do meu pedido foi realmente retirado do cartão de crédito de George Pokeepsi.

Eu pensei que valia a pena ligar para George, que me enviou um presente tão maravilhoso para esclarecer a situação, mas o serviço ao cliente se recusou a me dar seu número de telefone. Continuei a suspeitar de algum tipo de fraude aqui, mas não tinha como entender quem estava ganhando o quê nessa situação. Por isso, disse à Nespresso: “Por favor, envie-me uma etiqueta de devolução pré-paga por correio e, assim que receber, terei prazer em enviar minha máquina de café de volta.” Da minha parte, isso foi um truque, porque todo mundo sabe como os fabricantes estão relutantes em levar seus produtos.

A atendente anotou meus dados, enviou-os ao departamento antifraude e me disse para monitorar meus e-mails. Se a empresa quiser devolver a máquina de café enviada erroneamente, este departamento me enviará uma etiqueta pré-paga para que eu não precise pagar meu dinheiro pelo envio da encomenda.

Como você pode ver, um ano depois eu ainda tenho uma máquina de café. Mas minha consciência está calma - relatei fraude e deixei este carro para mim. No entanto, eu não conseguia entender o que realmente aconteceu, e isso me incomodava constantemente.

Então, pesquisei um pouco e encontrei na seção de segurança do site do eBay um esquema da chamada fraude da triangulação, ou "triângulo fraudulento". É assim chamado porque envolve três partes. Esse esquema ajudou a entender o que poderia acontecer especificamente no meu caso.



O objetivo dessa fraude é sacar um cartão de crédito usando a conexão entre a empresa e o último elemento do esquema - a mula, como é comumente chamada. Essa é a pessoa que converte dinheiro.

Três participantes neste esquema:

  • um cliente inocente que faz um pedido em um leilão ou mercado eletrônico usando qualquer forma de crédito, débito ou leilão do PayPal;
  • -, , - , ;
  • , .

Na maioria das vezes, um fraudador usa um vendedor legítimo em casa em seu esquema, que pode nem assumir que faz parte de uma rede fraudulenta, e alguns desses vendedores têm um sólido histórico de vendas. Os golpistas costumam colocar anúncios de emprego o vendedor deve vender seus produtos em uma determinada porcentagem, geralmente 30%, e muitos vendedores concordam com esse



trabalho. O empregador é o verdadeiro criminoso que roubou as informações do cartão de crédito.Ele fornece ao vendedor uma lista dos “seus” bens à venda, incluindo uma descrição completa dos produtos .

O vendedor coloca os produtos em sua conta na plataforma de negociação eletrônica. Clientes legais compram mercadorias e o vendedor envia informações sobre o pedido ao empregador.

O empregador faz o mesmo pedido em um site legal, paga com cartão de crédito roubado e passa o rastreador do produto ao vendedor.

O vendedor passa o rastreador para o cliente. Agora, um pedido feito de maneira fraudulenta é enviado ao cliente pelo site legal do fabricante da mercadoria.

Um cliente que inesperadamente recebeu um produto roubado e uma empresa de fabricação legal são vítimas. Se uma fraude for descoberta, o site legítimo emitirá um estorno ou perderá os fundos recebidos para pagar o pedido. Este site pode entrar em contato com o cliente para devolver os bens roubados, ou o próprio cliente declarará isso, como aconteceu no meu caso. O comprador também pode entrar com uma ação judicial contra o vendedor no seu banco.
No entanto, há outra vítima - essa é a pessoa que roubou o cartão de crédito. Ele não sabe nada sobre o negócio até receber um extrato do cartão de crédito. Naturalmente, ele tentará contestar a compra e, às vezes, isso leva a um reembolso do site legal.

Normalmente, o fraudador representa uma grande empresa, neste caso a Nespresso, e abre uma conta lá. Essas empresas têm um sistema de entrega otimizado e um sistema de contas simples que não contém verificações de segurança complexas. Então, o fraudador, se ele trabalha sozinho e é um empregador e um vendedor, cria sua conta no eBay, um perfil falso e começa a vender as coisas de maneira muito barata. Quando o leilão termina, um comprador inocente envia seu dinheiro para o eBay e se torna uma mula - graças a um comprador honesto, o fraudador recebe o dinheiro de que precisa.



No entanto, vale lembrar que o fraudador vende mercadorias que ele realmente não possui. E o processo de compra no eBay não será concluído até que a fatura de entrega seja fechada. Isso significa que, além disso, o fraudador usa um cartão de crédito para comprar mercadorias diretamente do fabricante e, em seguida, o triângulo se fecha. Uma notificação de entrega é gerada no site e todos estão felizes. Um fraudador pega dinheiro com a venda de mercadorias, paga uma comissão do eBay e paga por itens adicionais; no meu caso, são cápsulas para uma máquina de café. Este é um triângulo perfeito, e o comprador não tem idéia de que é uma "mula", tudo o que sabe é que recebeu seu produto a preço de banana. O incentivo para continuar a fraude é que todos continuem calados. Obviamente, se não sou eu quem comprou a máquina de café expresso que eu não pedi,e quem realmente queria saber por que isso aconteceu.
Eu tinha duas versões do que aconteceu. O primeiro é um erro do serviço de processamento de pedidos quando alguém copia por engano uma linha extra de uma planilha do Excel no site do fabricante e acidentalmente me enviaram uma cafeteira adicional. O segundo - golpistas só queriam comprar meu amor! Talvez esse triângulo fraudulento seja uma coisa tão frágil, e todas essas contas e cartões de crédito "falsos" sejam coisas tão delicadas que o fraudador tentou me deixar tão feliz que não duvidei de nada e continuei comprando suas mercadorias.

Portanto, o passo mais correto depois de receber uma máquina de café Nespresso grátis foi iniciar sua própria investigação comprando mais café! Eu sei, você pensa que sou uma pessoa terrível, mas ... em primeiro lugar, por algum motivo, ainda chamei meu discurso de "confissões" e, em segundo lugar, apenas assumi que era uma fraude, mas não estava nela certo. Não sei o tamanho dessa operação, por isso preciso de mais dados.

Em particular, eu não precisava apenas de mais dados de um vendedor, queria saber se havia vários golpes como "príncipes nigerianos" ou vendedores de cartões-presente fraudulentos. Em resumo, eu precisava avaliar de alguma forma a escala do que estava acontecendo.



Então, eu venho com um monte de perguntas para descobrir quem são esses ladrões. Para ser claro, o eBay está cheio de ladrões. Eu só queria encontrar isso. Então, os golpistas têm outras contas, posso encontrá-las? Com que rapidez essas contas se esgotam? E a principal questão é - posso fazê-los cometer o mesmo erro duas vezes? Tipo "envie-me ainda mais coisas grátis?"

Usando a ferramenta de pesquisa de leilão do eBay e a conta inicial como modelo, tentei encontrar outra conta recém-criada com zero classificação de vendas Nespresso. Então, eu precisava de três coisas: vender a Nespresso, obter uma classificação zero e criar uma conta relativamente recentemente.

Achei que os golpistas não tentariam tornar cada um de seus anúncios exclusivos, mas prefeririam descrições de modelos e as mesmas imagens para várias contas de vendedores. Além disso, se esses "triângulos" forem frágeis o suficiente e rapidamente "queimarem", terei que procurar por esses anúncios todos os dias.

Como o eBay permite automatizar pesquisas, defino meu próprio modelo para comprar 200 cápsulas Nespresso por US $ 99. A terceira condição que defini as máquinas de café, mas três parâmetros criam um conjunto de dados duvidoso, então fiquei apenas procurando por cápsulas. Recebi um relatório dos resultados da pesquisa por e-mail e tive que verificar até 100 cartas todos os dias. No começo, era um pouco complicado - demorou um tempo para encontrar muitas que correspondessem exatamente aos meus critérios de seleção. O café é vendido por muitas pessoas, mas 200 cápsulas Nespresso a um preço de US $ 99 de um vendedor com classificação zero e uma conta nova são itens bastante raros.

Se você olhar para este slide, verá estrelas no topo. Portanto, essa não é a classificação do vendedor, como você imagina, mas as opiniões de pessoas sobre este produto. Mas, vendo essas estrelas, os compradores se sentem mais calmos, imaginando que essa é a classificação do vendedor. De fato, para novas contas, a classificação é impressa em letras pequenas na parte inferior do anúncio. Para visualizá-lo e descobrir a data em que a conta foi criada, você precisa clicar em um botão separado, o que leva tempo.

A boa notícia é que o site do eBay me ajuda na pesquisa - mesmo que meus cliques não levem aos resultados desejados, ele me observou e colocou uma seleção de anúncios na parte inferior da página: "escolhemos um produto semelhante para você, talvez seja do seu interesse " Como resultado, logo descobri as contas que me interessavam e, como pesquisador real, criei uma planilha para rastrear cada conta única com a data de sua criação, alterações temporárias de classificação, número de lotes vendidos e quantidade de vendas.
Depois disso, selecionei duas contas criadas uma após a outra dentro de 6 dias e fiz duas compras separadas para descobrir se elas me enviariam mercadorias adicionais não previstas no pedido.



Como resultado, depois de uma semana, recebi 200 cápsulas de café mais 200 cápsulas e depois de mais 6 dias - 200 cápsulas de café e um batedor de leite completamente novo para cappuccino por US $ 119. Foi um presente muito útil, porque sou cappuccino, adoro quando o café tem espuma. Em geral, mudei do café comum para o cappuccino, mas, mais importante, percebi que encontrei esses golpistas. Nos anúncios, eles usavam as mesmas imagens e as mesmas descrições de produtos. E então eu entrei em correspondência com eles. Escrevi tudo para eles sobre as mercadorias, perguntei sobre diferentes produtos de café, diferentes tipos de café; às vezes, acabei de enviar saudações. Mas eles nunca me responderam.

Também olhei a página de fraude do eBay para tentar falar sobre essas contas, porque percebi que isso não era justo, não deveria estar envolvido, certo? Porém, o comprador não pode denunciar fraude no site do eBay se ele realmente recebeu a mercadoria. Existe um formulário de reclamação "Não recebi as mercadorias encomendadas" ou "Recebi as mercadorias danificadas", mas não existe nada como "Recebi mercadorias em excesso e quero denunciá-las". Então, desisti da ideia de reclamar com o eBay sobre esses golpistas.

Então, continuei minha investigação, encontrei mais 2 contas semelhantes e fiz mais 2 pedidos. Tomei 200 + 200 cápsulas de café novamente e algo interessante aconteceu - um golpista me escreveu uma carta.



"Olá amiga! Em primeiro lugar, obrigado por escolher meu produto para compra. Em segundo lugar, peço desculpas pelo fato de o produto não estar nas melhores condições e não pude enviar para você, porque tento sempre vender apenas coisas excelentes. Minha mãe está no hospital, mas em breve tentarei encontrar outro produto em boas condições para enviá-lo a você. Eu preciso ir ao hospital para ficar com minha mãe, então espero que você entre na minha posição e me deixe cancelar o pedido. Obrigado e que Deus te abençoe! "

Que cara fofo, certo? Ele cancelou o pedido e meu dinheiro foi devolvido para mim. Sua conta foi encerrada uma semana depois. Era um vigarista muito delicado, e quero acreditar que está tudo bem com a mãe dele. Eu provavelmente o assustei com o meu desejo de receber regularmente lotes adicionais de café de graça.

Em seguida, passei várias horas procurando uma ferramenta. Minha imaginação exuberante sugeria que talvez alguém tivesse criado algo em inglês que poderia ser chamado de adivinhador - um "gerador de erros gramaticais", algo como uma versão de merda do Google Translate, que distorcia especificamente a tradução para um idioma estrangeiro. Aconteceu que essa ferramenta não existe, então a tarefa para você é desenvolver algo semelhante!

Comecei a perguntar aos amigos que falavam outras línguas se eles haviam encontrado algo semelhante; para algumas, minhas perguntas pareciam racistas, então parei de procurar. O fato é que percebi que os golpistas tentarão retratar um pouco de conhecimento do idioma, a fim de derrubá-lo, colocando anúncios analfabetos em inglês, e eu devo encontrá-los.

De um jeito ou de outro, meu negócio com café ficou fora de controle e minha consciência atormenta. Minha cozinha é um desastre completo, então é hora de parar este jogo. Eu não precisava de muito café; na verdade, paguei cem dólares para coletar informações sobre a conta do vendedor. Toda vez que pagava esse dinheiro, queria aprender o máximo possível sobre essas pessoas.



No entanto, não sou rico o suficiente para conduzir constantemente pesquisas tão caras. Aqui está o resultado do meu trabalho, tabulado.



Apenas 5 compras, 1 reembolso, o número total de cápsulas recebidas pela máquina de café - 1200 peças, 1 batedor de leite, 1 máquina de café compacta. Minhas despesas totalizaram 391,9 dólares, o custo total das mercadorias que recebi foi de aproximadamente 939 dólares. Em outubro, peguei todas as informações que coletei, faturas, informações da conta e, juntamente com os documentos impressos que eu tinha, enviei para o FBI. Eu queria saber se eles tentariam fazer algo sobre isso. Também enviei os resultados da minha investigação ao eBay e a todos os interessados. Ainda não recebi uma resposta do FBI, mas depois de 30 dias, a atividade dos golpistas do café parecia ter chegado a nada. Talvez algo tenha acontecido. Eu não conseguia descobrir quem eram essas pessoas. Eu realmente queria revelar uma comunidade criminosa legal,algo como ladrões de cartão de crédito do Marrocos ou algo assim, mas isso não aconteceu. Mas essa não é uma história heróica, certo? Esta é a minha confissão.

Foi tudo o que aprendi sobre o triângulo fraudulento no eBay. Quando comecei a contar essa história às pessoas, comecei a explicar como ela funciona; elas costumavam me dizer que se tratava de um crime sem vítimas. No entanto, valeu a pena considerar, e você entende que isso não é verdade, não há crimes sem vítimas. Aprendi muito pouco sobre George com Pokeepsy, bem como sobre outros vendedores, mas descobri que todos eram pensionistas ou estavam em idade pré-aposentadoria. Esta é uma população bastante vulnerável. E agem como vítimas que não conseguem mitigar os danos causados ​​por eles, a maioria nem sequer sabe o que está acontecendo em seu nome. Pessoas que roubaram cartões de crédito quando descobrem deduções ilegais de dinheiro começam a recorrer contra elas. E os extremos nesta cadeia não são empresas manufatureiras, mas vendedores, idosos,do qual o dinheiro roubado por um fraudador pode ser coletado.

Como nação, não avançamos o suficiente na proteção dessas pessoas. Para empresas ou grandes varejistas, esse tipo de fraude não causa tanto dano quanto as pessoas mais velhas. O triste é que qualquer pessoa pode facilmente se tornar cúmplice em tais esquemas. Um certo limite de descontos deve ser definido para estimular o comprador, abaixo do qual a fraude começa. Esta é uma mina de ouro real para bandidos. Mas o eBay não se importa, a Nespresso também não se importa, porque ao comprar mercadorias a preço de banana, você continua comprando e elas continuam recebendo sua porcentagem ou aumentando as vendas.



Você é incentivado a participar de esquemas fraudulentos, porque todos estão encantados com esses descontos e itens para presentes. No entanto, na realidade, tudo isso é vendido a um preço de mercado, e os grandes vendedores são protegidos contra perdas por seguro, que também cobre danos causados ​​por fraude com cartões de crédito roubados. Eles não terão nada a fazer se conseguirem virar as flechas para quem comprou os produtos para revenda - nesse caso, John, da Pokeepsi, ou para quem os detalhes do cartão de crédito foram roubados
Então, de fato, a única pessoa que pode parar isso é você ou eu. E eu parei. Eu não vou mais fazer isso. Isso não é normal. Tudo o que me resta é o meu reconhecimento e a promessa de parar de comprar produtos super baratos. E ainda tomo muito café. Talvez eu possa fazer mais uma coisa boa - colocar em leilão esta maravilhosa máquina de café Nespresso cuidadosamente usada.



A propósito, licitar é uma péssima ideia. Eles começarão assim que eu colocar um anúncio na minha conta do Twitter. Basta ir ao site e fazer sua aposta. Somente dinheiro aceito. O resultado da licitação será anunciado amanhã às 10h, e o vencedor poderá chegar ao campus de Tamper Evident e pegar sua máquina de café. Não seja bobo e não tente fazer o lance máximo para que você não atenda mais tarde. Todos os rendimentos serão destinados à implementação da iniciativa Diana. Prometo que vou acompanhar todas essas transações para garantir transparência absoluta.

Se ninguém quiser participar, bem, este é o DefCon, onde tudo acontece. No último slide, você vê minha conta real no Twitter, então escreva, muito obrigado!

O leilão começa com um lance de US $ 1, então eu vou colocar esse anúncio agora. Mais uma vez obrigado pessoal, vocês são demais!




Um pouco de publicidade :)


Obrigado por ficar com a gente. Você gosta dos nossos artigos? Deseja ver materiais mais interessantes? Ajude-nos fazendo um pedido ou recomendando aos seus amigos o VPS baseado em nuvem para desenvolvedores a partir de US $ 4,99 , um analógico exclusivo de servidores básicos que foi inventado por nós para você: Toda a verdade sobre o VPS (KVM) E5-2697 v3 (6 núcleos) 10GB DDR4 480GB SSD 1Gbps de 10GB de US $ 19 ou como dividir o servidor? (as opções estão disponíveis com RAID1 e RAID10, até 24 núcleos e até 40GB DDR4).

Dell R730xd 2 vezes mais barato no data center Equinix Tier IV em Amsterdã? Somente nós temos 2 TVs Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV a partir de US $ 199 na Holanda!Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - a partir de US $ 99! Leia sobre como construir infraestrutura classe c usando servidores Dell R730xd E5-2650 v4 que custam 9.000 euros por um centavo?

More articles:


All Articles