Los usuarios de tarjeta de VISA, MasterCard y Europay presentan una vulnerabilidad que intentar 10 mil combinaciones del Número de Identificación Personal (NIP) y reiniciarlo nuevamente hasta que el ataque PINATA logre su objetivo.
La vulnerabilidad descubierta por Salvador Mendoza, Investigador de Seguridad del Equipo de Seguridad Ofensiva de Metabase Q, descubrió que la tecnología desarrollada in-house del PIN Authomatic Try Attack (PINATA) puede acceder a los datos financieros.
El ataque PINATA se aprovecha de una mala implementación del Método de Verificación del Titular de la Tarjeta (CVM, por sus siglas en inglés), así como de un uso inadecuado del criptograma de aplicación que se utiliza para resetear el contador de intentos de transacción, es decir, que este ataque permitiría reiniciar el contador de intentos del NIP cada vez que llegue a su límite de las 10 mil posibles combinaciones del Número de Identificación Personal (NIP) en tarjetas de contacto de chip Europay, MasterCard y Visa (EMV).
«En Metabase Q llevamos investigaciones más a fondo para proteger a usuarios y organizaciones contra pérdidas financieras y daños a su reputación. Encontramos una falla de implementación bancaria que permite sobrellevar más de tres intentos al momento de ingresar el NIP para validar una transacción. Esta vulnerabilidad demuestra cómo una mala implementación puede llevar a que un atacante encuentre el NIP de una persona, incluso sobrepasando los tres intentos que deberían ser suficientes para evitar un ataque de fuerza bruta», especificó Salvador Mendoza.
Metabase Q ofrece servicios de seguridad a las 10 compañías más grandes en América Latina, agencias gubernamentales y más de 80 por ciento de las transacciones financieras en México son supervisadas por esta empresa.
