银行卡：安全隐患无处不在

我们（以及其他许多网络安全博客）常常会写一些有关各种盗读技术和以其它方式窃取银行卡的文章。今天，我们将讨论那些表面看上去并不危险，但却的的确确存在却被大多数银行卡用户所忽视的风险。我们即将讲述的故事是有关跨境支付的风险以及在支付系统内所发现的内在缺陷。 无需CVV代码的支付交易 许多人总认为必须输入CVV代码（印在信用卡背面的三位数字）才能完成在线交易。然而，有些网店却能跳过这一步骤，且无需将密码传送至支付网关。 就这一问题我们询问了DiaSoft商务拓展部研发主管Sergey Dobrinyuk，他是这样评论道的：”要完成在线交易通常需要提交这些认证信息：卡号、有效日期、印刻在卡上的持卡人姓名以及印在卡反面的CVV代码。” “凹凸印字卡片（持卡人姓名的字母在卡表面凸起显示）在在线支付时使用得更加频繁，且通常来说这些卡的级别较高，比如：VISA经典卡和VISA金卡等。发卡行则会对客户的身份和购买力进行核实和评估。这也是为什么在交易金额不大的时候，如果能确定是”高品质”买家的话，卖家可能只会验证卡号的真实性而跳过授权认证这一环节。” “这就是所谓的’免授权限额’。一些银行和网店的免授权限额最高可达1000美元。” Dobrinyuk说道。 据有关专家称，一些新兴市场的 “高品质”客户并非都能享受到如此的优待，而通常来说支付系统也会部署更多的安全等级，但目前还不存在共享的银行卡认证信息政策—每一家网店完全可以制定自己的规则。 “所有无需PIN码或3D Secure验证的远程交易都可能受到用户的质疑。如果你对交易的合法性抱有疑问的话，完全可以向银行申请退款，在银行调查清楚后便会将这笔钱退回到你的账户。” Dobrinyuk说道。 Dobrinyuk建议网购用户只在那些拥有3D Secure标准（VISA卡和万事达卡分别对应”Verified by Visa”和”SecureCode”）的网店进行在线交易—作为一种双重认证方式，交易时必须输入通过短信发送或打印在ATM凭条上的一次性密码。 不幸的是，网店完全能自行决定是否需要在其支付系统内部署额外的安全等级。就算你的信用卡受到3D Secure的保护，但网店依然可能跳过这一步骤。 使用虚拟信用卡也有助于提升安全保护等级。此类信用卡通常有效期很短，且所涉金额较小。即使遭受黑客入侵，主卡的支付认证信息也不会被泄露。 正如你所知的，将你的信用卡卡号告知他人并不是一个好主意。如果有网络犯罪分子引诱你透露持卡人姓名和卡有效期，那他很有可能就能从你的账户内窃取资金—就算没有CVV代码也完全可行。好消息是此类情况你可以向银行申请退款。但也有坏消息，就是你需要自己甄别欺诈交易并行动迅速。 仅限电子联机交易 对于VISA电子信用卡和其它采用各种不同支付系统的入门级信用卡产品，人们都有一个共同的误区。此类信用卡没有印刻任何信息但在卡正面却印有免责声明：”ELECTRONIC USE ONLY（仅限电子联机交易）”。 许多人都误认为这样的卡无法用于在线交易，但事实上这完全由发卡行决定。支付系统政策根本无法限制此类卡的在线交易。 简单地说：网络骗子同样能从入门级信用卡内窃取资金。 跨境支付 由于汇率的波动，持卡人在进行跨境在线支付和境外取款时总会遇到这样或那样的问题。其中主要的风险之一便是对持卡人不利的汇率波动。 “此类情况下可能最多需要进行4次汇率换算：从电子商务平台终端、收款行、支付系统最后到发卡行”。Dobrinyuk提醒说道。

我们（以及其他许多网络安全博客）常常会写一些有关各种盗读技术和以其它方式窃取银行卡的文章。今天，我们将讨论那些表面看上去并不危险，但却的的确确存在却被大多数银行卡用户所忽视的风险。我们即将讲述的故事是有关跨境支付的风险以及在支付系统内所发现的内在缺陷。

无需CVV代码的支付交易

许多人总认为必须输入CVV代码（印在信用卡背面的三位数字）才能完成在线交易。然而，有些网店却能跳过这一步骤，且无需将密码传送至支付网关。

就这一问题我们询问了DiaSoft商务拓展部研发主管Sergey Dobrinyuk，他是这样评论道的：”要完成在线交易通常需要提交这些认证信息：卡号、有效日期、印刻在卡上的持卡人姓名以及印在卡反面的CVV代码。”

“凹凸印字卡片（持卡人姓名的字母在卡表面凸起显示）在在线支付时使用得更加频繁，且通常来说这些卡的级别较高，比如：VISA经典卡和VISA金卡等。发卡行则会对客户的身份和购买力进行核实和评估。这也是为什么在交易金额不大的时候，如果能确定是”高品质”买家的话，卖家可能只会验证卡号的真实性而跳过授权认证这一环节。”

“这就是所谓的’免授权限额’。一些银行和网店的免授权限额最高可达1000美元。” Dobrinyuk说道。

据有关专家称，一些新兴市场的 “高品质”客户并非都能享受到如此的优待，而通常来说支付系统也会部署更多的安全等级，但目前还不存在共享的银行卡认证信息政策—每一家网店完全可以制定自己的规则。

“所有无需PIN码或3D Secure验证的远程交易都可能受到用户的质疑。如果你对交易的合法性抱有疑问的话，完全可以向银行申请退款，在银行调查清楚后便会将这笔钱退回到你的账户。” Dobrinyuk说道。

Dobrinyuk建议网购用户只在那些拥有3D Secure标准（VISA卡和万事达卡分别对应”Verified by Visa”和”SecureCode”）的网店进行在线交易—作为一种双重认证方式，交易时必须输入通过短信发送或打印在ATM凭条上的一次性密码。

不幸的是，网店完全能自行决定是否需要在其支付系统内部署额外的安全等级。就算你的信用卡受到3D Secure的保护，但网店依然可能跳过这一步骤。

使用虚拟信用卡也有助于提升安全保护等级。此类信用卡通常有效期很短，且所涉金额较小。即使遭受黑客入侵，主卡的支付认证信息也不会被泄露。

正如你所知的，将你的信用卡卡号告知他人并不是一个好主意。如果有网络犯罪分子引诱你透露持卡人姓名和卡有效期，那他很有可能就能从你的账户内窃取资金—就算没有CVV代码也完全可行。好消息是此类情况你可以向银行申请退款。但也有坏消息，就是你需要自己甄别欺诈交易并行动迅速。

仅限电子联机交易

对于VISA电子信用卡和其它采用各种不同支付系统的入门级信用卡产品，人们都有一个共同的误区。此类信用卡没有印刻任何信息但在卡正面却印有免责声明：”ELECTRONIC USE ONLY（仅限电子联机交易）”。

许多人都误认为这样的卡无法用于在线交易，但事实上这完全由发卡行决定。支付系统政策根本无法限制此类卡的在线交易。

简单地说：网络骗子同样能从入门级信用卡内窃取资金。

跨境支付

由于汇率的波动，持卡人在进行跨境在线支付和境外取款时总会遇到这样或那样的问题。其中主要的风险之一便是对持卡人不利的汇率波动。

“此类情况下可能最多需要进行4次汇率换算：从电子商务平台终端、收款行、支付系统最后到发卡行”。Dobrinyuk提醒说道。

每个阶段都会产生费用，但持卡人通常只能看到一个总的金额数字，可能包含在购物的总费用内，也可能单独列出。”平心而论，如果缺乏对支付系统和银行费用结构的详细了解，普通用户根本无法了解这其中复杂的操作过程。我的建议是从那些手续费较低的商家那儿购物。” Dobrinyuk说道。

由于商家可能每隔好几天甚至几周才与合作银行联络一次（支付系统政策允许最长45天的延迟），因此卡扣款晚于实际支付完全有可能发生。由于延迟的原因再加上一些突发情况，最终消费的汇率总是对持卡人不太有利。

上述情形相信目前许多俄罗斯持卡人在海外网购或境外ATM机取款时都会碰到。因此我们不建议通过这样的方式进行大笔金额的付款或取现，因为这样很可能发生透支情况。

这可能听起来有些奇怪，但如果碰到这种情况，原本无法透支的借记卡面临的所谓’技术性’或’限制性’透支的风险更高。一旦发生透支，发卡行会对持卡人处以高达百分之数百年利息的罚款。

防范兑换风险

有些银行会发行多币种信用卡，因此持卡人能够针对不同国家的交易使用不同货币支付。比如你去欧洲旅行的话，可以将欧元作为信用卡的主货币，同理去美国则将美元作为主货币等等。这是规避汇兑风险的最便捷方法。

我们时常会在境外使用固定货币的银行卡，为此VISA、万事达或其它任何支付系统都建立自己内部的兑换率。因此手续费相对较低：百分之几甚至更少。

产生手续费最高的通常是ATM机取款、第三方支付系统（例如：PayPal）以及POS机终端刷卡，它们只使用你的本国货币进行交易，而不是价格标签上的货币种类。想要完全搞清楚并非一朝一夕：你需要花些时间仔细计算，牢记所有货币的最新汇率以及手续费等等。

请相信我们所说的：在大多数情况下，你都可能多付钱了，而且数额还不小。因此不要在国外被商品标签上的低廉价格所吸引，你实际所需支付的其实更多。

道理很简单，银行卡以及收费方法几乎都是半个世纪以前的产物，因此难免有所缺陷。而许多支付系统所提供的技术解决方案也并非100%的方便，且总是为了给商家带来更多利润而设计，相比之下买家的安全性却不断降低。但你自己完全可以降低风险：即对我们上述所提到的各种网络犯罪技巧多加小心。

Equation网络间谍开发出”坚不可摧”的恶意软件–但还不用过于恐慌

卡巴斯基GReAT团队于近期发布了针对Equation网络间谍小组活动的研究报告，其中揭示了大量所谓的”技术奇迹”。该历史悠久且技术强大的黑客小组开了一系列复杂的”可植入”恶意软件，但其中最有趣的发现是该恶意软件能够对受害人的硬盘进行重新编程，进而隐藏这些”植入病毒”因此几乎”坚不可摧”。 作为计算机安全领域期待已久的”恐怖故事”之一 –永远存在于计算机硬盘且无法被清除的病毒数十年来被认为是一段”都市传奇”，但似乎人们花费了数百万美元只是为了将其变为现实。有些新闻报道煞有其事地宣称Equation黑客小组所开的这一恶意软件能让网络黑客”窃听全球大多数计算机”。然而，我们只是想尽可能地还原事实的真相。所谓能够”窃听全球大多数计算机“就像熊猫能在马路上走路一样不现实。 首先，让我们解释一下什么是”对硬盘固件重新编程”。通常一块硬盘由两个重要部件组成–存储介质（传统硬盘使用磁盘，而固态硬盘则采用闪存芯片）和微芯片，而后者则真正控制对硬盘的读写以及许多服务程序，例如：错误检测和修正。由于这些服务程序数量众多且相当复杂，因此从技术上说，一块芯片就好比是一台小型计算机，用于处理各种复杂的程序。芯片的程序被称为固件，而硬盘供应商可能不时需要对其进行升级更新：修正已发现的错误或改善性能。 而这一机制恰恰被Equation黑客小组所滥用，从而能够将其自己的固件下载到12种不同类型（按不同供应商/差异区分）的硬盘。修改后固件的功能依然不得而知，但因此计算机上的恶意软件却获得了在硬盘特定区域读写数据的能力。我们只能假设这一区域完全对操作系统甚至特定合法软件隐藏。而这一区域的数据即使硬盘格式化后也依然可能幸存，并且从理论上说固件能通过从一开始感染新安装的操作系统进而对硬盘引导区进行再感染。为了简化之后的工作，固件都是依靠自身检查和重新编程，因此就无法检验固件完整性或可靠地将固件重新上传至计算机。换句话说，受感染的硬盘固件根本无法被检测出，因此也就”坚不可摧”了。最简单和省钱的办法是将可能被感染的硬盘丢弃，重新买块新的。 但是，不用急着去找螺丝刀–我们并不认为这一终极感染能力会成为主流。就算Equation黑客小组可能也只用过几次而已，因此受害人系统存在硬盘感染模块的情况依然屈指可数。首先，对硬盘重新编程相比写入而言要复杂得多，可以将Windows软件作为例子。每一块硬盘的模块都是独一无二且造价相当昂贵，此外要编写出一个替代的固件也需要耗费相当长的时间和精力。黑客首先必须得到硬盘供应商的内部文档（几乎不可能），购买一些同一型号的硬盘，编写和测试所需的功能并将恶意程序植入现有固件，与此同时还需要保持其原先的功能。这是一个浩大的工程，需要花费数月进行研发并投入数百万美元的资金。因此在一些用于犯罪的恶意软件或大部分的有针对性攻击中，几乎不太可能使用此类隐藏技术。此外，固件开发显然只能小范围进行，无法简单地大规模进行。许多硬盘厂商每月都会针对多款硬盘发布固件，新型号产品也层出不穷，因此要黑客入侵每一款型号的固件对于Equation以及其他所有黑客小组而言几乎不可能实现（也没有这个必要）。 因此，真实的情况是–感染硬盘恶意软件不再是传奇了，但对于大多数用户而言不存在任何风险。千万不要轻易丢弃自己的硬盘，除非你是在伊朗的核工业工作。但却需要对一些我们已老生常谈的风险多加注意，比如因密码薄弱或反病毒软件长久未更新而导致黑客入侵。

提示
注册