2015年11月，威爾·卡布特在一家安全公司工作，簽下了墨西哥一家大型連鎖餐廳的滲透測試任務，要找出其網站上的可利用漏洞。

到達其中一家餐廳后，卡布特注意到收銀臺旁放著一堆未激活的禮品卡。在他一張一張翻閱禮品卡時，他發現了一個模式：雖然卡片最后4位數字看起來好像是各不相同的隨機數，但除了有1位數字是依次遞增的外，其他數字均保持一致，就好像理好的撲克牌。吃完玉米煎餅，欺詐這一系統的計劃也在他腦海中成型了。

禮品欺詐

經過幾年的零售禮品卡行業研究，卡布特打算在本周末舉行的Toorcon黑客大會上公布他的發現。這些發現是可以幫助黑客確定禮品卡號并從中牟利的超簡單技巧，這甚至會發生在卡片合法持有者還沒來得及使用之前。盡管其中有些方法已經半公開了幾年，某些零售商也已經補上了安全漏洞，但還有一部分目標依然對禮品卡黑客方法敞開大門。正如對最近剛被取締的暗網市場AlphaBay的分析所呈現的，現實中的犯罪分子也已大量采用這些騙術。

卡布特目前在 Evolve Security 當研究員，他說：“你基本上是通過這些禮品卡在偷取別人的錢。你可以從餐館、商場、影院、航空公司等拿走禮品卡樣本，然后找出其中模式，確定出賣給客戶的其他禮品卡，然后盜取其中價值。”

要實施此類詐騙，必須獲得至少一張目標公司的禮品卡。未激活禮品卡通常在餐廳和零售商處任取，要不然買一張也行。雖然不是所有卡片，都像上文所述墨西哥餐廳的禮品卡一樣依次遞增1。但獲取2-3張卡片，有助于確定除此之外的模式。然后，就可以訪問商場或餐廳用來查驗卡片價值的網站了。此處，卡布特會運行暴力破解軟件Burp Intruder，循環反復嘗試卡號后4位隨機數的數值。該過程大約持續10分鐘。通過重復該過程，再加上其他可預測的數值，網站將確認卡片各自含有的價值。“只要找到一張禮品卡或優惠券，你就能暴力破解該網站。”

一旦竊賊確定了被激活的有價值卡號，就能在零售商的電子商務頁面消費這些卡，甚至親身現場使用?？ú继赜脕嗰R遜上賣的價值120美元的磁條寫入設備，將卡號寫入了空白塑料卡上，然后發現大多數零售商都毫不遲疑地接受了他的卡?？ú继貎H僅讓商場或餐廳查了下卡片余額，并沒有真正消費屬于受害者的卡片。

這就是個匿名攻擊。我可以直接走進餐廳，點餐消費，然后堂而皇之地回家。那張卡上有50美元的余額，然后，砰，消失了。

平衡法則

自2年前發現該禮品卡欺詐以來，卡布特一直在警告零售商和餐廳注意這種騙術。潛在目標——包括美國喬氏連鎖超市、梅西百貨和塔可鐘快餐。他們要么撤下禮品卡價值查詢網頁并要求用戶通過電話查詢，要么在查詢網頁上添加驗證碼，防止自動化程序暴力破解禮品卡號。

但其他餐廳、零售商店和公司(卡布特并未透露具體商號)，不是未能實現針對此類欺詐的安全措施，就是添加的防御措施可以被繞過。他發現，很多禮品卡承辦商在查詢網頁上使用的驗證碼，他都可以通過使用 Burp Proxy 工具禁用該頁面的JavaScript元素，輕易剝去。這就讓他可以像2015時那樣，用同樣的暴力破解攻擊，找出被激活禮品卡卡號加以利用。他測試過的其他小型零售商和地區性連鎖店，則根本沒有加上驗證碼，或者用的是壓根不用暴力破解就能猜出的遞增式卡號。

除了卡號，有些零售商的卡片還增加了PIN碼。但僅在查詢卡片余額的時候才要求輸入PIN碼，消費時不用。而且，如果黑客真心想要確定這些PIN碼保護卡片的價值，同樣可以用Burp Intruder暴力破解之，跟破解卡號本身一樣簡單。

卡布特指出，甚至加上了健壯驗證碼的餐廳和零售商，也依然脆弱。只要禮品卡放店里任取，他就可以整堆全拿走，拍下卡背面，再放回去。然后，通過餐館或零售商的網站定期查詢這些卡號。只要發現有卡片被激活，里面充的錢就可以隨便花了。

卡布特找到的漏洞并非純理論上的。今年5月，安全公司Flashpoint發布了一份報告，稱在犯罪論壇發現數百關于“被破解”禮品卡的討論，討論高峰期在2016年夏天，然后2017年初又激增了一次，而2016年之前則一個此類討論都沒有。Flashpoint分析師里夫·羅利稱，2016年11月到今年7月AlphaBay被FBI取締的8個月間，僅AlphaBay一家，就通過售賣十幾個品牌的被盜禮品卡，達到了40多萬美元的銷售額，受害商家包括OfficeMax和全食超市之類的賣場。Flashpoint向受影響零售商之一了解情況時，該公司研究人員確定，賣家確實使用了自動化工具暴力破解被激活的禮品卡，就像卡布特展示的那樣。“很多禮品卡是順序編號的，賣家看來就是那么查驗的。”

卡布特點出的所有禮品卡安全問題，都有相對簡單的修復措施：在禮品卡價值查詢網站上實現壞人繞不過的強驗證碼，不要在收銀臺留下可以隨意拿走的未激活禮品卡，在卡片上使用可刮涂層防偷拍替換。

但在零售商和餐廳做出修復之前，消費者最好在購買禮品卡前三思，畢竟自己的錢很有可能被黑客吸走。在從零售柜臺拿走未受保護的卡片前，或許可以考慮一下都有誰可能已經先拿走過一次了——還有誰可能知道這張塑料卡片的秘密。