Как я украл миллион. Исповедь раскаявшегося кардера - стр. 21

– Да мне, по большому счету, без разницы, с кем работать, – не хочешь «палить» Элвиса, тогда давай работать с тобой.

– Ну давай, – согласился Auger. – Вот условия.

И тут он меня немного разочаровал: один европейский дамп с «пином» предлагался за $2 тыс., нерабочие не обменивались (в отличие от первой тестовой партии), минимальная партия составляла десять дампов. Хочешь – бери, не хочешь – не бери.

Я взял один раз – на $20 тыс. И все бы ничего, да отсутствие замен свело рентабельность этой работы к нулю. Больше я в эту лотерею не играл.

И все же я думаю, что в роли мифического Dark Elvis'а выступал сам Auger…

– Не поняла, какой Auger? – у Галины Аркадьевны не было доступа к моим воспоминаниям.

– Ну Аугер – мой поставщик дампов, который продавал мне и дампы с PIN-кодами.

– А-а-а. И почему ты уверен, что Элвис и Auger – это одно и то же лицо?

– Когда я только начинал работать с Аугером, тот обмолвился, что его напарник Aizek[797] как раз работал над реверсией…

– ?..

– Расшифровкой «пинов» из их базы с дампами. Да и невозможность установить прямой контакт с Элвисом укрепляла меня в моей догадке. Скорее всего, у Аугера – высококлассного киберпреступника с многолетним стажем – было несколько сетевых имен, которые даже его партнеры по нелегальному бизнесу не связывают друг с другом, а считают их принадлежащими разным людям.

– Он не сидит? – отчего-то поинтересовалась адвокат.

– Нет-нет, такие люди не сидят. Когда я общался с Аугером в последний раз, тот собирался, по его словам, прикупить какое-нибудь комфортное кресло в «Газпроме» – пару миллионов долларов они с Айзеком уже заработали, – и навсегда завязать с кардингом. Если птица не садится на гнездо, а поднимается все выше и выше, она в конце концов попадает в сетку птицелова. Тот, кто не чувствует, когда нужно остановиться, нарушает законы природы…

– Как Айзек расшифровал «пины»? – прервала мои философские рассуждения Галина Аркадьевна.

– Основное требование платежных систем к хранению и передаче PIN-кода: значение PIN должно всегда находиться в зашифрованном виде, начиная от его ввода на клавиатуре банкомата или POS-терминала и заканчивая проверкой в «святая святых» любой платежной системы – защищенном аппаратном модуле шифрования (HSM-модуле) банка-эмитента. Этот модуль хранит ключ генерации PIN-кодов, и проникновение в него повлечет за собой компрометацию всех PINob, когда-либо сгенерированных с помощью этого ключа. Поэтому доступ к HSM-устройствам строго ограничен как физически (применяются взломостойкие модули), так и через Сеть.

– Что же сделал Айзек?

– На разных этапах обработки PIN-коды проходят множество ступеней шифрования/дешифрования, и не все HSM, через которые проходят «пины», находятся в защищенной от внешних вторжений сети банка-эмитента. Зато все они поддерживают морально устаревший интерфейс Standard Financial API, которому уже больше тридцати лет. Через уязвимость в этом интерфейсе Aizek и ломанул HSM на каком-то промежуточном хосте (узле сети). Дальше просто – на взломанный HSM-модуль устанавливается сниффер – программа, перехватывающая PIN-коды в открытом виде либо в зашифрованном, но доступном для декодирования. На осуществление подобных взломов порой требуется несколько лет.

– Почему производители HSM-устройств не закроют эти дыры? – задала логичный вопрос адвокат.