Брутфорсим номер карты, CVV2 и срок действия при помощи сайта Мастер-Банка

капча снизит конверсию. можно просто давать 2-3 попытки и дальше блокировать по IP и карте

Брутфорсим номер карты, CVV2 и срок действия при помощи сайта Мастер-Банка

а какой процент эмитентов в мире поддерживают 3dsecure? и какой процент их карт активированы? я думаю <1%.
>>вас засекет служба фрод мониторинга и СЭБ банка
и что, заблокирует все свои карты?

Брутфорсим номер карты, CVV2 и срок действия при помощи сайта Мастер-Банка

знать держателя карты незачем, а понять, что карта действующая, можно по ответам Мастер-Банка, таким как «14 — No such card»

Брутфорсим номер карты, CVV2 и срок действия при помощи сайта Мастер-Банка

ничего подобного, номер карты подчиняется алгоритму Луна. В интернете полно номеров карт выложено их же владельцами — вот от них, например, и можно начинать плясать

Вконтакте и Мастер Банк преподнесли мошенникам на блюдечке великолепную уязвимость, связанную с оплатой банковскими картами

уязвимость заключается в том, что либо Мастер Банк не предоставляет такой возможности, либо контакт ею не пользуется

Вконтакте и Мастер Банк преподнесли мошенникам на блюдечке великолепную уязвимость, связанную с оплатой банковскими картами

я не знаком с протоколом PayPal, но видимо для мерчантов с автоматическим предоставлением услуги есть возможность сверять данные, переданные на PayPal методом POST с данными, полученные от него в server-to-server респонсе

Вконтакте и Мастер Банк преподнесли мошенникам на блюдечке великолепную уязвимость, связанную с оплатой банковскими картами

проблема не высосана из пальца, вы не поверите, но такой прецедент был уже у одного банка на заре предоставления услуги интернет-эквайринга, а достаточно было просто шифровать назначение платежа как пишет Goblink выше.

Вконтакте и Мастер Банк преподнесли мошенникам на блюдечке великолепную уязвимость, связанную с оплатой банковскими картами

я имею ввиду хеш md5

Вконтакте и Мастер Банк преподнесли мошенникам на блюдечке великолепную уязвимость, связанную с оплатой банковскими картами

главное, чтобы в ключ входило назначение платежа и название сайта, иначе можно с тем же успехом можно заранее нагенерировать ключей из своего аккаунта на произвольную сумму

Вконтакте и Мастер Банк преподнесли мошенникам на блюдечке великолепную уязвимость, связанную с оплатой банковскими картами

Клиент вводит реквизиты карты на стороне Мастер Банка, а не на фишинговой странице. В paypal нельзя подменить назначение платежа и название торговца. Если вы регистрируетесь в paypal и делаете фишинговый сайт — вас блокируют. А здесь кого заблокирует банк? Вконтакте? Вконтакт может заблокировать аккаунт, но никто не мешает открыть новый. И так до бесконечности, пока Вконтакт не наберется чарджбеков и Visa или MasterCard не потребуют от Мастер Банка закрыть этот мерчант.

MySQL в tmpfs

и тут вдруг прорывает батарея и заливает все кипятком:))

Вконтакте и Мастер Банк преподнесли мошенникам на блюдечке великолепную уязвимость, связанную с оплатой банковскими картами

нет, вы ничего не поняли

Вконтакте и Мастер Банк преподнесли мошенникам на блюдечке великолепную уязвимость, связанную с оплатой банковскими картами

urlrefferer можно подменить
как вариант.подтягивать инфо о покупке и названии сайта не из POST а из базы, куда эта информация прежде попадает по server-to-server

Вконтакте и Мастер Банк преподнесли мошенникам на блюдечке великолепную уязвимость, связанную с оплатой банковскими картами

то есть никогда?:)

Вконтакте и Мастер Банк преподнесли мошенникам на блюдечке великолепную уязвимость, связанную с оплатой банковскими картами

Вконтакте может и прикроют, но представьте сколько сайтов, подключенных к Мастер Банку придется перевести на новую версию протокола