Le MagSpoof à 10 $ de Samy Kamkar prédit le prochain numéro de carte AmEx avant même qu'il n'existe

Le chercheur en sécurité Samy Kamkar a découvert que lorsqu'une carte American Express est signalée comme volée, le numéro de la carte de remplacement pouvait être prédit à partir de l'original — ainsi que la date d'expiration de la carte de remplacement, déduite de la date d'annulation de l'ancienne carte. « Le jour où cette carte est annulée, dès qu'elle est rejetée, deux secondes plus tard je connais votre nouveau numéro et votre date d'expiration », a-t-il déclaré à WIRED en 2015. « Si je faisais de la fraude, ce serait assez utile. » L'astuce pouvait se répéter indéfiniment, volant de nouveaux numéros de carte aussi vite qu'AmEx pouvait les émettre.

Trois mois après avoir signalé le problème, Kamkar avait construit la preuve : MagSpoof, un appareil de la taille d'une montre coûtant environ 10 $, qui met en œuvre son algorithme de prédiction et peut usurper la piste magnétique d'une carte sans fil sur des lecteurs standards. Si une carte usurpée est refusée — le signe révélateur qu'elle a été annulée —, une pression sur un bouton fait passer l'appareil au numéro suivant prédit. Un fraudeur pouvait alors voler la carte de remplacement presque instantanément, encore et encore.

Les limites étaient réelles : l'attaque ne permet pas d'obtenir le CVV à quatre chiffres, et MagSpoof ne ressemble pas à une carte. Mais Kamkar a montré qu'un appareil à carte numérique comme Coin pouvait stocker les numéros prédits, rendant l'astuce présentable à un serveur ; il a démontré des transactions MagSpoof réussies dans deux restaurants, dont un établissement haut de gamme où il a dépensé plus de 100 $. Coin a répondu que ses étapes de sécurité — les chiffres du numéro de sécurité sociale et la vérification du code postal de facturation — empêchent la fraude, ce que Kamkar a contesté avant une conférence à Kiwicon sur la façon de les contourner.

American Express a refusé de considérer la prévisibilité comme un risque réparable. Après les contacts répétés de Kamkar, un ingénieur d'AmEx lui a assuré, au cours d'une discussion d'une heure, que des numéros prévisibles ne constituaient pas un risque de sécurité sérieux que l'entreprise prévoyait de corriger. Un porte-parole a ajouté que les utilisateurs d'AmEx étaient protégés par un code de sécurité supplémentaire intégré aux données de la piste magnétique — ce que Kamkar a confirmé bloquer l'attaque dans certains cas — et par le déploiement de la puce et du code PIN, en notant que le code de sécurité « change avec le numéro de carte et est impossible à prédire ».

La réémission d'une carte est traitée comme une remise à zéro de la sécurité, mais si le nouveau numéro et la date d'expiration sont déterministes, annuler une carte ne fait que publier son successeur deux secondes à l'avance.

L'intuition renverse une hypothèse ancrée dans la politique des cartes : la réémission — la réponse universelle à un numéro volé — n'est une remise à zéro que si le nouveau numéro est imprévisible.

La boucle de l'attaque s'auto-alimente : chaque refus révèle l'annulation, chaque annulation révèle le numéro suivant, si bien qu'une carte compromise ne cesse jamais de compromettre.

MagSpoof a rendu la théorie bon marché et concrète : 10 $ de matériel transforment un algorithme de prédiction en une usurpation de paiement fonctionnelle, démontrée dans de vrais restaurants.

La réponse du fournisseur — un ingénieur jugeant la faille indigne d'être corrigée — fait de ce cas une étude sur la façon dont les institutions évaluent les risques peu spectaculaires.

Toute rotation de sécurité qui est déterministe n'est pas une rotation : si les défenseurs peuvent calculer le prochain secret, les attaquants aussi — et la correction doit reposer sur l'entropie, non sur la procédure.

AmEx s'est publiquement appuyé sur son code de sécurité de piste magnétique et le déploiement de la puce EMV comme mesures d'atténuation plutôt que de modifier son schéma de génération de numéros. Kamkar a poursuivi ses recherches avec une conférence prévue à Kiwicon sur la façon de contourner la vérification de Coin. WIRED a publié les conclusions le 24 novembre 2015.