Los resultados de consulta de 3-D Secure pueden revelar señales de cuentas
The 3DS Oracle: BIN Attack via the Network · arXiv:2610.32206
En palabras sencillas
En los pagos en línea, 3-D Secure comprueba una tarjeta antes de que se autorice el pago. Este estudio pregunta si el primer resultado que se muestra a quien hace la solicitud puede revelar algo sobre la cuenta, aunque después no haya ningún desafío ni pago.
Los investigadores enviaron solicitudes a una integración de pagos sin ejecutar su software de navegador. En seis de siete grupos de tarjetas del mismo rango, una tarjeta que controlaban recibió un primer resultado distinto al de tres números de tarjeta cercanos.
Esto muestra una posible señal en esta prueba, pero no demuestra que esos números cercanos fueran inválidos o inutilizables.
La investigación
¿Puede una comprobación de autenticación de un pago en línea revelar información relacionada con una cuenta antes de que se autorice el pago? Un desafío podría quedar sin completar y, aun así, el resultado de la primera consulta podría variar entre entradas.
Esa diferencia importa porque, por sí sola, podría ayudar a alguien a filtrar candidatas, sin demostrar que una tarjeta sea válida o utilizable.
El estudio prueba si los primeros resultados de 3-D Secure revelan distinciones relacionadas con cuentas y encuentra diferencias en algunos casos acotados en vivo.
Los investigadores compararon cada tarjeta de referencia, cuya emisión conocían, con tres números de tarjeta adyacentes del mismo rango en una integración de Braintree/Cardinal probada.
Un cliente independiente envió solicitudes sin ejecutar software de navegador y registró el primer resultado visible para el cliente; se detuvo antes de continuar con un desafío o autorizar una operación financiera.
El resultado de referencia difería de las tres comparaciones en seis de los siete grupos probados; en un grupo, todas las entradas recibieron la misma clase de resultado que requería un desafío. Esto muestra que los resultados iniciales pueden distinguir entradas en algunos casos probados, mientras que solicitar un desafío no demuestra que la autenticación se haya completado ni que la cuenta sea válida.
El resultado en vivo procede de una sola integración de Braintree/Cardinal para el canal de navegador y de un conjunto pequeño y acotado de entradas.
El estudio no verificó si se habían emitido las tarjetas candidatas, no observó el procesamiento interno, no completó desafíos ni intentó autorizar pagos; por tanto, no establece una prueba universal de validez de cuentas ni la prevalencia de esta señal en toda la red.
Qué muestran las pruebas
- La pregunta antes de autorizar
El artículo estudia si quien realiza una solicitud puede aprender información relacionada con una cuenta a partir del primer resultado de 3-D Secure (3DS), antes de la autorización financiera. Ese resultado puede reflejar cómo se gestiona una solicitud de autenticación, pero pedir un desafío no significa que se haya completado, y un resultado no demuestra que la tarjeta pueda usarse para pagar.
Los autores combinan el análisis del protocolo y de la integración con pruebas en vivo acotadas y una revisión aparte de materiales públicos.
- Prueba del resultado visible
Para examinar qué podía ver quien hacía la solicitud, los investigadores usaron un cliente HTTP independiente con autorización válida para su propia integración comercial. El cliente envió información sintética de navegador y dispositivo y recibió resultados de consulta sin ejecutar software de navegador.
Se detuvo antes de continuar con un desafío o autorizar un pago. La evidencia medida fue el primer resultado visible para el cliente en la integración, no los mensajes sin procesar intercambiados internamente por la red de pagos o los sistemas del emisor.
- Un patrón con una excepción
Los investigadores compararon una tarjeta de emisión conocida que controlaban con tres números de tarjeta adyacentes del mismo rango que superaban una comprobación básica de formato. En seis de los siete grupos de tarjetas probados, la clase del primer resultado de la tarjeta de referencia difería de la de las tres entradas comparativas.
En el grupo restante, las cuatro entradas recibieron un resultado que requería un desafío. La unidad de comparación fue el grupo, no cada sesión repetida; el resultado muestra una distinción en algunos casos probados, no un clasificador validado.
- Interpretar las señales con cautela
El estudio también interpreta los identificadores de transacción recibidos mediante una regla del protocolo: cuando el Directory Server crea una respuesta en nombre de un sistema del emisor, sus identificadores deberían coincidir.
Por eso, si los campos están asignados correctamente y se sigue la especificación, los identificadores coincidentes o distintos pueden ser compatibles con diferentes niveles de procesamiento. No muestran directamente el procesamiento interno ni demuestran que exista una cuenta.
En una comprobación de enrutamiento aparte, las entradas bloqueadas anteriormente recibieron respuestas a nivel del emisor al pasar por proxies residenciales distribuidos, dentro de una integración y un grupo limitado de proxies.
- Qué respalda la evidencia
En una revisión aparte de materiales públicos, los autores encontraron ejemplos de servicios de pago y software que usan resultados de 3DS para filtrar credenciales candidatas.
Los autores interpretan esta evidencia junto con las observaciones en vivo como un motivo para limitar los detalles expuestos en las respuestas y tratar de manera coherente las distintas ramas de resultados. Como la prueba en vivo abarcó una integración principal y no verificó si las candidatas se habían emitido ni observó el procesamiento interno de la red, la evidencia no establece una prueba universal de validez de cuentas ni la prevalencia de la señal.
Detalles
- Autores del paper original
- Wasif Faisal, Suprava Saha Dibya
- Enviado a arXiv
- Licencia
- arXiv non-exclusive