Un nouveau service vise à être la recherche Google de sites Web clandestins, reliant les acheteurs à une vaste mer de magasins qui offrent une gamme de biens et de services douteux, des numéros de carte de crédit volés aux informations d’identité et aux outils d’anonymat.
Résultats MegaSearch pour le BIN #423953
Une surabondance de violations de données et de numéros de cartes volés a engendré des dizaines de magasins qui vendent les informations. Le problème est que chaque boutique demande aux utilisateurs de créer des comptes et de se connecter avant de pouvoir rechercher des cartes.
Entrer MegaSearch.cc, qui permet aux acheteurs potentiels de découvrir quels magasins de fraude détiennent les cartes qu’ils recherchent sans avoir à créer d’abord des comptes dans chaque magasin. Ce moteur de recherche gratuit regroupe des données sur les cartes de paiement compromises et dirige les chercheurs vers divers magasins de fraude qui les vendent.
Selon son créateur, le moteur de recherche ne stocke pas les numéros de carte compromis ni aucune information sur les titulaires de la carte. Au lieu de cela, il travaille avec les propriétaires de magasins de cartes pour indexer les six premiers chiffres de tous les numéros de compte compromis qui sont à vendre. Ces six chiffres, également connus sous le nom de « numéro d’identification bancaire » – ou BIN – identifient la banque qui a émis les cartes. En recherchant par BIN, les utilisateurs de MegaSearch reçoivent des liens vers différents magasins de fraude qui vendent actuellement des cartes émises par la banque correspondante.
J’ai entendu parler de cette offre pour la première fois dans un article de blog par Laboratoires de recherche RSA sur la lutte contre la fraude. Il n’a pas fallu beaucoup de temps pour fouiller quelques forums de hackers pour trouver le cerveau derrière MegaSearch qui a présenté son idée aux propriétaires de différents magasins de fraude. Il a accepté de discuter de son offre avec moi par message instantané, en utilisant le service de recherche comme nom d’écran.
« Je suis dans une grande startup qui va être [referred to as] le « Google souterrain » », a déclaré MegaSearch à BreachTrace. « De nombreux utilisateurs passent beaucoup de temps à chercher [through] magasins, et j’ai pensé pourquoi ne pas rendre cela pratique ? »
Le service indexe actuellement les BIN compromis de cinq magasins de cartes différents, bien qu’il ait déclaré que plusieurs autres magasins sont sur le point de terminer leur intégration avec MegaSearch. Il a reconnu avoir perçu une petite redevance publicitaire pour chaque relation, bien qu’il ait refusé à plusieurs reprises de discuter des détails de ces arrangements. Mais il a déclaré que les deux parties en bénéficiaient : les données de cartes volées deviennent moins fiables avec l’âge, et les magasins de fraude indexés par MegaSearch ont de meilleures chances de liquider leur inventaire plus rapidement, affirme le pirate.
MegaSearch a déclaré que lorsque son site a été lancé pour la première fois fin 2011 et a commencé à indexer les cinq magasins de cartes qu’il suit actuellement, ces magasins avaient collectivement quelque 360 000 comptes compromis à vendre. Depuis lors, ces magasins ont déplacé plus de 200 000 cartes. Le moteur de recherche a actuellement indexé 352 000 numéros de compte volés qui sont en vente en ce moment dans le métro.
Selon les statistiques de recherche BIN publiées sur le site, les cartes Citibank sont les plus recherchées, suivies des cartes émises par FIA Card Services, Capital One et Chase.
Dans les semaines à venir, a-t-il dit, le site inclura de nouvelles fonctionnalités qui indexeront d’autres types de marchandises criminelles, y compris les numéros de sécurité sociale et les procurations – les adresses de PC piratés que les clients payants peuvent utiliser comme relais pour anonymiser leurs communications en ligne.
« Je suis sur le point d’ajouter plus de services à ce site qui aideraient les débutants clandestins, y compris les procurations, les informations d’identité volées, etc. », m’a dit MegaSearch. « Je vais également ajouter un sondage [to rate] le meilleur magasin.”
2011 a été appelée l’année de la violation de données. Si des services comme MegaSearch sont révélateurs d’une tendance, 2012 pourrait bien être connue comme l’année où la clandestinité criminelle a commencé à comprendre comment mieux indexer et utiliser toutes ses données volées.