[Ciko 0]

PayPal скрізь. Кожен великий рітейлер, кожен маленький магазин Shopify , всі вони махають цими синіми та жовтими кнопками у вас перед обличчям. Але більшість кардерів ставляться до jоплати PayPal як до криптониту, і на те є вагома причина. Ці розумні виродки з PayPal рік за роком посилюють свої системи боротьби з шахрайством, перетворюючи проходження їхніх кас на чортів кошмар.

Але де стає цікаво - я сидів на методі, який постійно потрапляв на вбивши PayPal протягом останніх двох років. Це фундаментальний недолік конструкції в їхній системі, який вони не можуть просто виправити швидким оновленням. І сьогодні я збираюся розібрати його для вас покроково.

Процес оплати PayPal

Перш ніж ми поринем у експлойт, давайте розберемо, як насправді працює процес оплати PayPal. Існує два основні шляхи, якими може пройти транзакція:

PayPal Express Checkout (негайна оплата)

• Клієнт натискає кнопку «Сплатити через PayPal»

• Перенаправляється в PayPal для оплати

• Платіж обробляється негайно на боці PayPal

• Клієнт повертається до магазину із завершеною транзакцією

• Додаткове підтвердження не потрібне

• Зазвичай зустрічається на базових сайтах електронної комерції
  PayPal Standard Checkout (двоетапний процес)

• Клієнт натискає кнопку «Сплатити через PayPal»

• Перенаправляється в PayPal для авторизації (але не обробки) платежу

• Повертається на сайт продавця з токеном PayPal

• Все ще може змінювати дані про доставку/виставлення рахунку

• Необхідно натиснути останню кнопку «Сплатити зараз» для завершення

• Використовується великими роздрібними торговцями для гнучкості

У другому потоці – Standard Checkout (стандартна оплата) – криється наша вразливість. Цей розрив між авторизацією та остаточною обробкою? Це наш золотий білет. Двоетапний процес створює вікно можливостей, що система виявлення шахрайства PayPal не може легко закрити, не порушивши законну функціональність.

Виявлення шахрайства PayPal

Виявлення шахрайства PayPal - це багаторівневий звір, який був відточений за десятиліття боротьби з шахраями. У своїй основі він побудований на одному важливому розумінні - адреси доставки не брешуть. В той час, як більшість платіжних систем одержимі відбитками браузера та IP, PayPal знає, що фізичні замовлення залишають паперовий слід, який ви не зможете підробити. Вони створили велику базу даних надійних місць доставки, прив'язаних до кожного облікового запису PayPal і карти, які колись стосувалися їхньої системи.

Подумайте про це - що за лайнова карта на 5$, яку ви намагаєтесь використати? Швидше за все, її законний власник замовляв щось через PayPal у якийсь момент свого життя. PayPal вже знає їхню домашню адресу, їхню робочу адресу, будинок їхньої мами, куди вони відправляють різдвяні подарунки. Кожна успішна транзакція залишає слід у величезній мережі надійних місць PayPal. Коли ви намагаєтеся відправити цей 65-дюймовий телевізор на якусь випадкову адресу, яку вони ніколи раніше не бачили, починають дзвеніти тривожні дзвони.

Ця одержимість адресами доставки виходить за межі лише індивідуальної історії транзакцій. Алгоритми PayPal аналізують місця доставки по всій мережі, створюючи теплові карти законної торгівлі та підозрілої активності. Вони знають, які поштові індекси мають високий рівень шахрайства, які адреси пов'язані з дропом, навіть які будівлі зазвичай мають незвичайні схеми доставки. Ваше, здавалося б, невинне замовлення проходить через цей довгий список факторів ризику, заснованих на місцезнаходження, перш ніж він колись потрапить на стадію обробки платежу.

Але що робить виявлення шахрайства PayPal по-справжньому грізним, так це те, як він об'єднує цю інформацію про доставку з їх величезним набором даних користувача. Майже кожен дорослий у США в якийсь момент взаємодіяв з PayPal — чи то за допомогою прямих покупок, чи одержання платежів, чи просто створення облікового запису, яким він ніколи не користувався. Кожна з цих взаємодій підживлює їх моделі ризику, створюючи складну мережу довірених відносин та перевіреної поведінки, яку практично неможливо проникнути за допомогою традиційних методів кардингу.

Чому трюк Bill=Ship не працює

'Чому б просто не зробити bill=ship і не зв'язатися з сайтом після цього?'

Успіхів. На відміну від звичайних транзакцій за кредитними картками, більшість сайтів не дозволять вам змінювати адресу після того, як платіж PayPal пройде. І на це є вагома причина — PayPal, по суті, є гарантією їх відсутності шахрайства.

Подумайте про це: коли ви платите кредитною карткою, сайти піддають вас перевіркам на шахрайство та будь-якій нісенітниці. Але чи платити через PayPal? Магазини упаковують та відправляють товар наступного дня, не ставлячи запитань. Чому? Тому що ці продавці знають, що виявлення шахрайства PayPal це божественний рівень. Вони бачили послужний список PayPal із закриття шахраїв, і вони довіряють йому більше, ніж власної матері.

Логіка торговців проста: ніхто не настільки дурний, щоб намагатися кардити через PayPal. Моделі ризику дуже складні, а набір даних дуже величезний. Тому, коли вони бачать, що платіж PayPal проходить, вони ставляться до нього так, ніби він благословенний самими богами запобігання шахрайству, поки ніяка інформація не змінюється після оплати.

Переключення адреси доставки

Ось де починається найцікавіше. Помнете той двоетапний процес стандартної оплати PayPal, про який ми говорили? Цей розрив між авторизацією та остаточною обробкою — це не просто примха, це наш чортовий молоток. Щоб краще донести думку, проілюструємо це на прикладі випадкового магазину Shopify.

Коли ви маєте справу з магазином Shopify, що використовує PayPal Standard Checkout, ось як ми збираємося знущатися над їх системою:
1. Додайте товари в кошик і перейдіть до оформлення замовлення

• Це важливо — PayPal має побачити адресу, якій вони довіряють

• Переконайтеся, що він збігається з тим, що є у записах PayPal для картки

3. Натисніть «Далі» та на сторінці оплати натисніть кнопку «Сплатити через PayPal»

• PayPal бачить надійну адресу доставки

• Їхнє виявлення шахрайства викликає теплі, неясні почуття

• Авторизація проходить гладко і без сучка і задирки

4. Ось де відбувається чаклунство:

• Після авторизації PayPal, але ДО остаточного підтвердження

• Shopify дозволить вам "переглянути" (якщо тільки магазин не використовує Express Checkout, у цьому випадку він негайно обробить транзакцію) ваше замовлення востаннє

• Це коли ви змінюєте цю адресу доставки на свою адресу

• PayPal вже отримав своє благословення, вони більше не перевіряють

5. Натисніть останню кнопку «Сплатити зараз»

• Транзакція обробляється через попередньо авторизований токен PayPal

• Shopify отримує оновлену інформацію про доставку

• Посилання відправляється до вас, а не до власника картки

Як і чому це працює як за помахом чарівної палички

Виявлення шахрайства PayPal відбувається під час первісної авторизації. Як тільки вони дають зелене світло, вони довіряють продавцю обробку решти. Звичайно, продавці можуть надіслати їм оновлену адресу доставки, але це рідко. І навіть коли вони це роблять, ви вже пройшли через складну перевірку на шахрайство під час оформлення замовлення – PayPal вже провів найглибші дослідження та дав вам своє благословення.

Будь-який магазин, який дозволяє нам змінювати замовлення перед оплатою, це наш золотий квиток. Він призначений для того, щоб дозволити сумлінним клієнтам виправляти друкарські помилки або змінювати адресу в останню хвилину. Натомість ми будемо використовувати його, щоб повністю обійти складну перевірку на шахрайство PayPal. На момент завершення обробки транзакцій PayPal вже перейшов до ретельного вивчення наступного бідолахи, який намагається провести платіж (вбити картку) через їхню систему. Ось вам і Святий Грааль кардингу

Вбивши через PayPal - розкритий. Ми не просто кидаємо лайно у стіну і сподіваємось, що щось прилипне. Це розрахована точна експлуатація фундаментального недоліку в процесі оформлення замовлення.

Пам'ятайте — це не якась нісенітниця про «швидке збагачення». Виявлення шахрайства PayPal як і раніше звір.

І заради всього святого, тримайте свій OPSEC під контролем. Змішуйте своїх дропів, змінюйте суми покупок і ніколи не використовуйте один і той же облік PayPal двічі.

Тепер йдіть заробляти ці гроші — тільки не приходьте до мене плакатися, коли облажаєтесь, зрізуючи кути.

Відмова від відповідальності : інформація, надана в цій статті, і всі мої статті та посібники призначені лише для освітніх цілей. Це дослідження того, як працює шахрайство, і воно не призначене для просування, схвалення чи сприяння незаконній діяльності. Я не можу нести відповідальності за будь-які дії, вжиті на основі цього матеріалу або будь-якого матеріалу, опублікованого моїм обліковим записом. Будь ласка, використовуйте цю інформацію відповідально та не беріть участь у будь-якій злочинній діяльності.