Тема: Взломщики CAPTCHA заработали $25 млн

Уникальное в своём роде дело начал рассматривать суд Нью-Джерси. Группа мошенников и программистов обвиняется (акт, PDF, 43 стр.) в том, что с 2002 по 2009 годы заработала около $25 млн на нелегальной перепродаже билетов на концерты, спортивные состязания и другие мероприятия. Потерпевшая сторона — онлайновые сайты по продаже билетов, в том числе Ticketmaster, Musictoday и Tickets.com.

Афера примечательна тем, что мошенники наладили автоматическую систему по покупке билетов на онлайновых распродажах. Они зарегистрировали две фирмы (Smaug и Platinum Technologies) исключительно для покупки диапазонов IP-адресов и съёма серверов в аренду, а также для регистрации около 1000 телефонных номеров. Через всю эту инфраструктуру осуществлялась покупка билетов якобы от уникальных покупателей.

Вся афера была основана на взломе визуальных и звуковых CAPTCHA. Мошенникам удалось эффективно взломать систему reCAPTCHA при помощи перехвата пользователей, пытающихся логиниться на Facebook, где используется такая же система, и автоматическое составление базы правильных ответов.

Разработка системы по взлому CAPTCHA стоила, по примерным оценкам, несколько миллионов долларов. Дело в том, что на некоторые популярные события вся распродажа завершалась в течение 30 секунд, поэтому взлом CAPTCHA должен был работать очень эффективно. Спроектированные боты автоматически заполняли все необходимые поля и автоматически осуществляли тысячи сделок покупки одновременно.

Одним из главных обвиняемых по всем мошенничествам является 37-летний программист и системный администратор компании Джоел Стивенсон (Joel Stevenson), который лично написал основную часть кода для проведения онлайновых афер, а также управлял командой программистов в США и Болгарии. Известно, что трём болгарским программистам платили от $1000 до $1500 в месяц.

Скупка билетов обрела такие масштабы, что по некоторым событиям Wiseguy стал вообще крупнейшим дистрибьютором билетов. Естественно, у него их можно было купить дешевле, чем у конкурентов. Достаточно сказать, что в 2007 году компания Wiseguy предлагала своим сотрудникам премию 100% к зарплате, если они смогут вывести компанию на уровень покупки 1 млн билетов определённой стоимости.

В 2007 году фирма фактически взломала лотерейный розыгрыш дефицитных билетов на плей-офф команды NY Yankees. Розыгрыш был ограничен двумя билетами в одни руки, а компания смогла «выиграть» 1924 билета, которые потом были проданы примерно за $159.000.

Две мошеннические фирмы обнаглели до того, что даже размещали объявления о найме на работу программистов, у которых есть опыт в разработке систем по взлому CAPTCHA. Они также выискивали и приглашали на интервью бывших сотрудников фирм-жертв, чтобы выяснить технические подробности мер защиты, детали CAPTCHA-систем и алгоритмы блокирования IP-адресов.

Оригинал Wired
Перевод Habrahabr