Подпольный рынок кардеров. Перевод книги «KingPIN». Глава 11. «Script’s Twenty-Dollar Dumps»

Кевин Поулсен, редактор журнала WIRED, а в детстве blackhat хакер Dark Dante, написал книгу про «одного своего знакомого».

В книге показывается путь от подростка-гика (но при этом качка), до матерого киберпахана, а так же некоторые методы работы спецслужб по поимке хакеров и кардеров.

Начало и план перевода тут: «Шкворень: школьники переводят книгу про хакеров».

Логика выбора книги для работы со школьниками у меня следующая:

• книг про хакеров на русском языке мало (полторы)
• книг про кардинг на русском нет вообще(UPD нашлась одна)
• Кевин Поулсен — редактор WIRED, не глупый товарищ, авторитетный
• приобщить молодежь к переводу и творчеству на Хабре и получить обратную связь от старших
• работать в спайке школьники-студенты-специалисты очень эффективно для обучения и показывает значимость работы
• текст не сильно хардкорный и доступен широкому кругу, но затрагивает вопросы информационной безопасности, уязвимости платежных систем, структуру кардингового подполья, базовые понятия инфраструктуры интернет
• книга иллюстрирует, что «кормиться» на подпольных форумах — плохо заканчивается

Кто хочет помочь с переводом других глав пишите в личку magisterludi.

(По поводу очередности мне задают много вопросов и советуют публиковать главы по очереди. Я бы тоже так хотел, но увы, так как работаю с с множеством людей, которые, например, уже перевели 80% главы, а потом у них случается форсмажор на 2 недели. С одной сторны на нах давить не хочется, с другой стороны откладывать публикацию тех людей, которые перевели уже следующую главу — не совсем честно по отношению к ним. Поэтому, то что есть, публикую.)

Глава 11. Script’s Twenty-Dollar Dumps

(за перевод спасибо хабраюзеру Find_The_Truth)

Весной 2001 года около ста пятидесяти русскоязычных компьютерных преступников собрались в ресторане портового города Одессы, чтобы обсудить запуск революционного сайта. Среди присутствовавших был Роман Вега, 37 летний мужчина, который продал поддельные кредитки через его онлайн магазин БоА Фактори (BOA — Bank Of America), хакер (cybercrook), известный как Король Артур и мужчина, который мог бы стать их лидером, украинский продавец кредиток, известный как Скрипт.

Заседание было вызвано успехом Британского сайта Библиотека фальшивок, запущенного в 2000 году. Этот сайт решал одну из основных проблем общения в криминальном бизнесе через IRC чат-румы, где свобода и многолетний опыт преступлений лопнули, как пузырь, стоило чату исчезнуть. Основанная горсткой западных хакеров (cybercrook) Библиотека фальшивок собрала нелегальные учебники, а также форум, где воришки, занимающиеся махинациями с документами, могли обменяться советами, подсказками, купить и продать «обновки» идентификационных карт (аналоги документов (паспорт, права и т.д.)) — евфемизм, выдержанный в том же духе, что и «мероприятия» у проституток.

Библиотека фальшивок имела гораздо больше общего с BBS в преддверии появления интернета, чем с IRC. Пользователи могли публиковать сообщения прямо в ветках форума, имели рейтинг и ники. Как только преступники со всего мира обнаружили этот островок в мутном, выдуманном море подпольной торговли, сайт собрал сотни, а потом и тысячи пользователей со всей Европы и Северной Америки. Среди них были люди, совершающие махинации с паспортами, хакеры, фишеры, спаммеры, фальшивомонетчики, люди, кардеры, все, кто прятался в своих квартирах и подпольях, слепые до сего момента, когда открыли для себя обширность этого тайного общества.

Кардеры Западной Европы с завистью наблюдали за Библиотекой фальшивок. Они хотели провернуть этот трюк и в своем подполье. Итогом июньского заседания в Одессе стало появление Международного Союза Кардеров, сокращенно Cardplanet.com. Крепко организованная, переосмысленная Библиотека фальшивок, ставшей пастбищем для подполья бывшей совесткой империи. В то время как Библиотека фальшивок была беспечным форумом, а БоА Фактори простым, незамысловатым магазином, Carderplanet была дисциплинированным онлайн-рынком по примеру торговой биржи.

Не стесняясь своих намерений, сайт взял на вооружение пример Итальянской мафии для ведения жесткой иерархии. Зарегистрированный пользователь назывался «sgarrista» — солдат без особых привелегий. Чуть выше располагался “giovane d’honore", человек, который помогал регулировать споры под надзором «capo». На вершине пищевой цепочки был Дон CardPlanet, Скрипт.

Русскоязычные торговцы стекались на новый сайт, чтобы предложить различный спектр товаров и услуг. Номера кредиток были основным товаром, но лишь сначала. У некоторых продавцов, специализирующихся на «полной инфе», можно было раздобыть номер кредитки, имя владельца, адрес, номер страховки и девичью фамилию матери всего за 30 долларов. Взломанные аккаунты eBay стоили всего 20 долларов. Некоторые амбициозные покупатели могли потратить 100 долларов для «изменения счета» украденной карточки — процедуры, когда платежный адрес владельца мог быть изменен на почтовый адрес покупателя. Другие торговцы продавали поддельные чеки, денежные переводы или адреса арендованных квартир в США, где приобретенный товар можно было перепродать мошеннику без страха быть пойманным. В продаже также имелись заготовки кредитных карт с магнитной полосой, «обновки» документов с голограммами, которые, в зависимости от качества, продавались от 75 до 150 долларов. Можно было приобрести набор из десяти документов с одной и той же фотографией, но с разными именами за 500 долларов.

Регистрация на CardPlanet была открыта для всех, но чтобы продавать, торговцы должны были предоставить свои товары или услуги на проверку рецензента. От новых торговцев иногда требовалось разрешение от Скрипта или залог в фонд чрезвычайных ситуаций, который использовался для выплат покупателям, если продавец не выполнил своих обязательств после оплаты. Продавцы были обязаны держать в курсе своих планов на отдых, хранить в безопасности информацию о покупателях и оперативно реагировать на жалобы клиентов. Рипперы (rippers), продавцы, которые не могли продать свой товар, банились, как было с любым продавцом, который имел 5 жалоб от клиентов.

Вскоре, подражая CardPlanet, был создан второй сайт, нацеленный на Англоязычные страны, Shadowcrew. В сентярбре 2002 года, после ошеломляющего успеха строго организованной CardPlanet, кардер под ником Kidd бросил все силы Библиотеки фальшивок, чтобы развернуть бизнес в России. Новости о сайте распространились в IRC чат-румах, как в тюремных дворах, и к апрелю 2003 года Shadowcrew имел тысячи зарегистрированных пользователей.

С девизом «Для тех, кто любит оставаться в тени» Shadowcrew был и колледжом на дому, и онлайн супермаркетом всего незаконного.
Их учебники содержали информацию о том, как использовать краденные номера кредиток, подделывать водительские права, взломать сигнализацию, или сделать глушитель для оружия. Сайт мог похвастаться вики, где можно было отследить процесс изготовления водительских прав. Утвержденные торговцы со всего мира предоставляли ошеломляющий спектр незаконных товаров и услуг: кредитные выписки, взломанные банковские аккаунты, имена, даты рождения и номера страховок потенциальных жертв махинаций. Как и на CardPlanet, каждый продукт имел своего специалиста, так что каждый продавец должен был быть проверен доверенным пользователем сайта для того, чтобы он мог продавать что-либо. Споры рассматривались тщательно и рассудительно, — администраторы и модераторы работали сверхурочно, чтобы разоблачить и забанить рипперов, которые продавали пустышки.

Торговля обхватывала не только информационные товары. Спросом пользовались также вещи вроде банкоматных скиммеров, лекарств, которые продавались только по рецепту, кокаин, а также сервисы, предоставляющие услуги по ДДОС-атакам: «уронить» сайт и защитить атаку от обнаружения антивирусами можно было за 200 долларов. Один из проверенных продавцов предлагал сервис для получения технических сертификатов в течение пары дней. Продавец, называемый ВыПокупаетеМыУскоряем (UBuyWeRush) «выстрелил», заполняя подполье программаторами магнитных полосок кредиток, а также бумагой с водяными знаками и картриджами с магнитными чернилами для подделки чеков.

Детское порно было запрещено, а один из продавцов, который попросил, чтобы ему разрешили торговать экзотическими животными, был осмеян всем форумом. Но все остальное было разрешено на Shadowcrew. Тем временем CardPlanet запустил ветку на форуме для преступников из Азии, Европы и Штатов, но это был ShadowCrew, который основал настоящий международный рынок: смесь Чикагской торговой биржи и баром на Mos Eisley в Звездных войнах, где преступники разных специализаций могли встретиться и обсудить их планы. Мошенник, подделывающий документы, мог купить в Денвере номера кредитных карт у хакера из Москвы, далее отправить их в Шанхай, где из них сделают фальшивые кредитки, а затем забрать фальшивые водительские права у мошенника из Украины прежде, чем отправиться в магазин.

Макс поделился своим открытием с Крисом, который был очарован новыми вещами. Крис зарегистрировался на форумах, стал изучать их содержимое, как учебник. Немногое изменилось с тех пор, как Крис занимался мошенничеством с кредитками в восьмидесятых. Однако, некоторые вещи все же изменились.

Было время, когда жулики могли получать номера кредитных карт буквально из мусорки, после копания в мусорных баках или из следов на барабанах печатающих машин. Теперь же механическая печать практически не используют, Visa и MasterCard настаивают, чтобы чеки по операциям не содержали полные номера карточного счета. Даже если тебе удастся получить полный номер, этого не достаточно, чтобы изготовить фальшивую кредитную карту. Изготовители кредитных карт добавляют специальный уникальный код к каждой магнитной полосе, наподобие PIN кода, неизвестный даже держателю карты. Данный код называется Кодом Проверки Подлинности (CVV) карты. Он генерируется из других данных на магнитной полосе — номера аккаунта и срока годности карточки, — затем шифруется секретным ключом, который известен только банку-эмитенту (выпускающему карточки). При использовании карточки в терминале, CVV код отправляется вместе с данными карточки для проверки банком. Если данные не совпадают, то транзакция отклоняется.

После того, как Visa ввела CVV код в 1992 году, доход мошенников стал резко падать — от 0,18% за год со всех операций Visa, до 0,15% год спустя. В 2000х годах инновации доказали, что они способны противостоять фишинг-атакам, при которых спаммеры рассылают тысячи фальшивых писем с целью получить данные кредитных карточек пользователей. Без CVV кода на магнитной полосе, который клиенты не знают, а значит и не могут оставить где-либо, украденные номера кредитных карт становятся бесполезными при операциях. Никто не может отправиться в казино Вегаса и купить черных фишек карточкой, которую получил в ходе фишинговой атаки. MasterCard последовали примеру Visa и выпустили свой собственный Секретный Код Карты (CSC). Далее, в 1998 году, Visa представила CVV2 код — секретный код, который печатается на обратной стороне карты для клиента, исключительно для покупок по телефону или интернету. В дальнейшем это уменьшило потери преступников и воздвигло Китайскую стену между мошенничеством в интернете и в реальной жизни. Данные, украденные из баз сайтов или посредством фишинг-атаки могли быть использованы только при онлайн операциях, в то время как данные магнитной полосы могут использоваться везде, кроме онлайн операций, потому что в них нет CVV2 кода.

К 2002 году меры безопасности превратили данные магнитных полос в один из самых ценных товаров подполью, подставив клиентов под удар. Хакеры начали нарушать работу систем обработки данных карточных центров, но самым обыденным методом получения данных карточек было трудоустройство в фаст-фуд ресторан сотрудника с карманным скиммером, который содержал считыватель магнитной полосы и встроенную память. Меньше, чем зажигалка, скиммер легко помещался в карман фартука работника или костюма метродотеля, в нем могли храниться данные сотен карточек клиентов, которые в дальнейшем можно было скачать на компьютер. Мошеннику достаточно секунды, чтобы считать данные с карточки посредством скиммера.

В конце 90х годов мошенники начали веерные наезды в крупные города Соединенных Штатов, в поисках официанток, официантов и прочего обслуживающего персонала, заинтересованных в дополнительном доходе, около 10 долларов за один прогон карточки. Хоть это и было рискованно, некоторые менеджеры АЗС и рабочие могли использовать в работе на примере установки крошечных плат на монетоприемники насосов и терминалов в розничных магазинах. Некоторые данные могли быть использованы на месте, но большая часть «уплыла» в Восточную Европу, где данные продавались десятками, сотнями и даже тысячами за раз. Кардеры называли эти данные дампами, каждый содержал только две строки текста, каждая на своей дорожке, 3 дюйма магнитной ленты.

Track 1: B4267841463924615^SMITH/
JEFFREY^04101012735200521000000
Track 2: 4267841463924615=041010127352521

Дамп обычной кредитки стоил около 20 долларов, 50 долларов за голд карточку и от 80 до 100 долларов за ограниченную корпоративную карту.
Крис решил попробовать себя в кардинге. Он узнал, что Скрипт, крестный отец CarderPlanet, был самым надежным источником дампов в мире.

Он заплатил украинцу 800 долларов за набор из номеров 20 карт Visa Classic и еще около 500 долларов за MSR206 — любимый ридер карточек с магнитными полосами. После подключения ридера к компьютеру и установки нужного программного обеспечения он мог взять любую подарочную карту Visa или одну из его собственных и расшифровать ее в два быстрых прогона, с одним из дампов Скрипта. С перепрограммированными картами, прожигающими дыру в его кармане, Крис просматривал его личный справочник и некоторые розничные магазины, прикидывая возможности. Простое мошенничество с картой несложное и дешевое дело, но оно имело некоторые ограничения. Наблюдая, Крис быстро определил, что покупка электроники и дорогой одежды — дело непростое. Существуют некоторые меры предосторожности: дорогие магазины требуют проверки клиента — он должен ввести четыре последних цифры карточки, некоторые POS терминалы отказывают в операции, но хуже всего, когда цифры не совпадают с кодом магнитной полосы. Перепрограммированные карточки были полезны только там, где ты сам управляешься со своей карточкой — на автозаправках или в аптеках.

Крис попробовал себя в местном супермаркете. Он без разбора заполнин свою корзину и оплатил товары, проведя карточкой через POS терминал. Через секунду слово «Оплачено» промелькнуло на дисплее и где-то в Америке случайный человек получил счет на 400 доларов за покупку продуктов. Крис отвез свои нечестно приобретенные продукты семейной паре в округе Orange County, которая была в худшем финансовом положении, чем Крис — у мужа украли его рабочие инструменты, поэтому Крис отвел его в магазин, чтобы купить новые. Стали ходить слухи, что у Криса были кредитные карты, которые он стал раздавать некоторым друзьям. Они всегда были достаточно умны, чтобы делать небольшие покупки Крису в качестве благодарности. Крис начинал видеть очертания его бизнес-плана в его операциях с пластиком. «Брось всё остальное, Макс, — говорил Крис. Реальные деньги в дампах».

Продолжение следует
Читать Главу 12. «Free Amex!»