Bild: Pixabay

Sicherheitsexperten der Universität Newcastle demonstrieren, wie sie Visas Online-Bezahlsystem in kürzester Zeit ausgehebelt haben.

In einem Ende vergangener Woche präsentierten Papier (PDF) beschreiben die Forscher ihre Methode, die sie "Distributed Guessing Attack" nennen. Dabei machten sich die Forscher zunutze, dass das Visa-Bezahlsystem ungültige Zahlungsanfragen, die gleichzeitig an mehrere Websites verschickt werden, nicht erkennt. Auch, dass auf unterschiedlichen Websites unterschiedliche Karteninformationen zur Beglaubigung von Transaktionen abgefragt werden, spielte den Sicherheitsexperten laut der Studie in die Hände.

Sie versandten also an hunderte Websites simultan Zahlungsanfragen. Pro Website sind üblicherweise zehn bis 20 Versuche erlaubt. Auf diese Art gelang es ihnen sukzessive Kartennummer, Ablaufdatum und die dreistellige CVV-Nummer zu erraten. Selbst wenn man über keine anderen Informationen als über die ersten sechs Stellen der Kreditkartennummer verfüge, die über die Bank und die Art der Karte Auskunft geben, sei es innerhalb von sechs Sekunden möglich, Online-Käufe durchzuführen, sagte ein Forscher der Gruppe dem britischen "Independent".