黑客贱卖价值近4千万美元的礼物卡资料

黑客当地下论坛销售金融资料情况汜滥,不时有大量的信用卡与支付卡的资料流窜,而不具名的礼物卡、点数等也时常成为下手目标。近期有人在暗网销售大量礼物卡,并宣称这些卡片来自数千家商店。Recorded Future始并购的威胁情报公司Gemini Advisory,近日公布相关研究指出,有人在俄文黑客论坛兜售近90万张礼物卡资料,总价值估计约3,800万美元,但这些资料究竟从何而来?该公司表示,黑客很有可能是从名为Cardpool的礼物卡交易网站偷得。

事件发生的经过,是Gemini Advisory在2021年2月上旬,在俄罗斯黑客论坛上发现,有个恶名昭彰的黑客出售895,000张被窃的礼物卡资料,总价值约3,800万美元。该名黑客声称,这些礼物卡来自3,010家公司,包含了Airbnb,亚马逊,美国航空,Chipotle,Dunkin Donuts、万豪酒店、Nike、Subway、Target,以及沃尔玛(Walmart)等知名品牌。这些礼物卡资料的起标价格为1万美元,直购价格为2万美元,很快就有另一名黑客将这些礼物卡的资料买下。

时隔一天,张粘贴述礼物卡资料的黑客再度于相同论坛出手,兜售33万张信用卡与支付卡的资料。这名黑客宣称,这笔资料的内容,包含了持卡者的账号地址,以及卡片号码、有效日期、银行名称等信息,但没有CCV号码或是持卡人姓名。这些资料的起标价格是5,000美元,直购价为15,000美元,也在数天后卖出。

针对这2批外泄的资料,Gemini Advisory分析后认为,33万张银行卡资料的来源,很可能是礼物卡交易网站Cardpool资料外泄而流出。这些资料的时间点,界于2019年2月4日到8月4日。这个礼物卡交易网站每月曾拥有30万人次浏览,其中85%来自美国,但在2021年初因为不敌新冠肺炎疫情而关闭。

由于银行卡资料偷自礼物卡交易网站,再加上前述2批卡片资料来自同一个黑客,Gemini Advisory推断,礼物卡的资料也很有可能是来自Cardpool。

对此,Gemini Advisory表示,相较于信用卡和支付卡,礼物卡往往没有具名,而且使用上缺乏持有者的身份验证程序,也因此成为黑客将信用卡或支付卡额度变现的渠道。例如,黑客使用偷来的信用卡与支付卡资料,购买礼物卡,再使用礼物卡购物,或者是将这些礼物卡转卖获利等。

照理来说,假如银行发现这些礼物卡是通过遭窃的银行卡购得,他们可以向发行礼物卡单位通报,并要求作废。然而,Gemini Advisory表示,这样的处理流程非常繁琐且耗时,实际上银行鲜少这么做,使得这些黑客往往有充分的时间将礼物卡套现。