He menivät niin pitkälle, että keskustelivat mahdollisuudesta saada UPS-kuljettajat kohtaamaan epäillyn. Tarkastetaan nyt, onko tällä dialla lainattu laillista?
Tässä on mitä FTC sanoo, kun kysytään: "Pitäisikö minun palauttaa tai maksaa tuote, jota en ole koskaan tilannut?" - "Ei. Jos saat tuotteen, jota et ole tilannut, sinulla on laillinen oikeus hyväksyä se ilmaislahjana." Kuulostaako tämä eettiseltä? Pesen käteni tästä, koska en ole tarpeeksi älykäs keskustelemaan sellaisista asioista.
Mutta mielenkiintoista on se, että näemme trendin, jossa mitä vähemmän tekniikkaa käytämme, sitä enemmän tienaamme.
Affiliate Internet-petos
Jeremy Grossman: se on todella vaikea ymmärtää, mutta voit ansaita kuusi lukua rahaa tällä tavalla. Joten kaikissa kuulemissasi tarinoissa on todellisia linkkejä ja voit lukea niistä kaikista yksityiskohtaisesti. Yksi mielenkiintoisimmista Internet-petostyypeistä on affiliate-petokset. Verkkokaupat ja mainostajat käyttävät affiliate-verkkoja houkutellakseen liikennettä ja käyttäjiä sivustoilleen vastineeksi osasta tästä saadusta voitosta.
Aion puhua asiasta, josta monet ovat tienneet vuosia, mutta en ole löytänyt ainuttakaan julkista viittausta, joka osoittaisi, kuinka paljon menetyksiä tämäntyyppinen huijaus on aiheuttanut. Sikäli kuin tiedän, ei ollut oikeusjuttuja eikä rikostutkintaa. Olen puhunut valmistavien yrittäjien kanssa, olen puhunut tytäryhtiöverkoston kavereiden kanssa, olen puhunut Black Catsin kanssa - he kaikki uskovat, että huijarit ovat ansainneet valtavan määrän rahaa tytäryhtiöiltä.
Ole hyvä ja ota sanani ja käy läpi kotitehtävät, joita olen tehnyt näistä erityiskysymyksistä. Huijarit tekevät niillä 5-6- ja joskus seitsemännumeroisia summia kuukausittain erityistekniikoilla. Tässä huoneessa on ihmisiä, jotka voivat tarkistaa tämän, jos heitä ei sido salassapitosopimus. Joten aion näyttää sinulle, kuinka se toimii. Tässä järjestelmässä on mukana useita pelaajia. Näet, mistä seuraavan sukupolven tytäryhtiöpelissä on kyse.
Pelissä on mukana kauppias, jolla on verkkosivusto tai tuote ja joka maksaa tytäryhtiöille palkkioita käyttäjien napsautuksista, luoduista tileistä, tehdyistä ostoksista ja niin edelleen. Maksat tytäryhtiölle siitä, että joku vierailee hänen verkkosivustollaan, napsauttaa linkkiä, menee myyjäsi verkkosivustolle ja ostaa sieltä jotain.
Seuraava pelaaja on tytäryhtiö, joka saa rahaa napsautuskohtaisen hinnan (CPC) tai palkkioiden (CPA) muodossa ostajien ohjaamisesta myyjän verkkosivustolle.
Palkkiot viittaavat siihen, että asiakas teki kumppanin toiminnan seurauksena ostoksen myyjän verkkosivuilla.
Ostaja on henkilö, joka tekee ostoksia tai merkitsee myyjän osakkeita.
Kumppaniverkostot tarjoavat tekniikoita, jotka yhdistävät ja seuraavat myyjän, kumppanin ja ostajan toimintaa. Ne "liimaavat" kaikki pelaajat yhteen ja varmistavat heidän vuorovaikutuksensa.
Voi kestää muutaman päivän tai muutaman viikon ennen kuin ymmärrät, miten se kaikki toimii, mutta siihen ei liity monimutkaista tekniikkaa. Affiliate-verkostot ja -ohjelmat kattavat kaikentyyppisen kaupan ja kaikki markkinat. Googlella, eBaylla, Amazonilla on niitä, heidän edunsa komission asiamiehinä risteävät, niitä on kaikkialla, eikä niillä ole tuloja. Olen varma, että tiedät, että jopa blogisi liikenne voi tuottaa useita satoja dollareita voittoa joka kuukausi, joten tämä järjestelmä on helppo ymmärtää.
Näin järjestelmä toimii. Yhdistät pienen sivuston tai sähköisen ilmoitustaulun, sillä ei ole väliä, allekirjoitat kumppaniohjelman ja saat erityisen linkin, jonka sijoitat Internet-sivullesi. Se näyttää tältä:
<a href=”http://AffiliateNetwork/p? program=50&affiliate_id=100/”>really cool product!</a>Tämä näyttää tietyn kumppaniohjelman, kumppanitunnuksesi, tässä tapauksessa se on 100, ja myytävän tuotteen nimen. Ja jos joku napsauttaa tätä linkkiä, selain ohjaa hänet affiliate-verkkoon, asentaa erityisiä seurantaevästeitä, jotka linkittävät hänet affiliate ID=100:aan.
Set-Cookie: AffiliateID=100Ja ohjaa myyjän sivulle. Jos ostaja myöhemmin ostaa tuotteen tietyn ajanjakson X sisällä, joka voi olla päivä, tunti, kolme viikkoa, mikä tahansa sovittu aika, ja tänä aikana evästeet ovat edelleen olemassa, kumppani saa provisionsa.
Näin tytäryhtiöt ansaitsevat miljardeja dollareita käyttämällä tehokasta SEO-taktiikkaa. Annan sinulle esimerkin. Seuraavassa diassa näkyy kuitti, nyt suurentelen sen summan näyttämiseksi. Tämä on Googlen 132 2 dollarin sekki. Tämän herrasmiehen sukunimi on Schumann, ja hän omistaa mainossivustojen verkoston. Tämä ei ole kaikki rahat, Google maksaa tällaiset summat kerran kuukaudessa tai kerran kahdessa kuukaudessa.
Toinen sekki Googlelta, suuren sen ja näet, että se maksaa 901 XNUMX dollaria.
Pitäisikö minun kysyä joltakin tällaisen rahan ansaitsemisen etiikasta? Hiljaisuus aulassa... Tämä sekki edustaa maksua 2 kuukaudelta, koska vastaanottajan pankki hylkäsi edellisen sekin liian suuren maksusumman vuoksi.
Olemme siis nähneet, että tällaista rahaa voidaan ansaita, ja nämä rahat maksetaan. Kuinka voit voittaa tämän suunnitelman? Voimme käyttää tekniikkaa nimeltä Cookie-stuffing. Tämä on hyvin yksinkertainen konsepti, joka ilmestyi vuosina 2001-2002, ja tämä dia näyttää miltä se näytti vuonna 2002. Kerron sinulle tarinan sen ilmestymisestä.
Ärsyttävät kumppaniverkoston käyttöehdot edellyttävät, että käyttäjä todella napsauttaa linkkiä, jotta hänen selaimensa poimii affiliate ID -evästeen.
Voit ladata tämän tavallisesti napsautetun URL-osoitteen automaattisesti kuvan lähteeseen tai iframe-tunnisteeseen. Tässä tapauksessa linkin sijaan:
<a href=”http://AffiliateNetwork/p? program=50&affiliate_id=100/”>really cool product!</a>Lataat tämän:
<img src=”http://AffiliateNetwork/p?program=50&affiliate_id=100/”>Tai tuota:
<iframe src=”http://AffiliateNetwork/p?program=50&affiliate_id=100/”
width=”0” height=”0”></iframe>Ja kun käyttäjä saapuu sivullesi, hän poimii automaattisesti affiliate-evästeen. Samanaikaisesti riippumatta siitä, ostaako hän jotain tulevaisuudessa, saat palkkiosi riippumatta siitä, ohjasitko liikennettä vai et - sillä ei ole väliä.
Muutaman viime vuoden aikana tästä on tullut ajanvietettä SEO-miehille, jotka julkaisevat samanlaista materiaalia ilmoitustauluille ja kehittävät kaikenlaisia skenaarioita, mihin muualle sijoittaa linkkinsä. Aggressiiviset kumppanit ymmärsivät, että he voivat sijoittaa koodinsa minne tahansa Internetiin, ei vain omille sivustoilleen.
Tällä dialla voit nähdä, että heillä on omat evästeiden täyttämisohjelmat, jotka auttavat käyttäjiä tekemään omia "täytettyjä evästeitään". Ja se ei ole vain yksi eväste, voit ladata 20-30 kumppanitunnusta samanaikaisesti, ja heti kun joku ostaa jotain, saat siitä maksun.
Nämä kaverit huomasivat pian, että heidän ei tarvinnut laittaa tätä koodia sivuilleen. He luopuivat sivustojen välisestä komentosarjasta ja alkoivat yksinkertaisesti lähettää pieniä katkelmiaan HTML-koodilla ilmoitustauluille, vieraskirjoille ja sosiaalisille verkostoille.
Vuoden 2005 tienoilla kauppiaat ja kumppaniverkostot ymmärsivät, mitä oli tekeillä, alkoivat seurata viittauksia ja napsautussuhteita ja alkoivat karkottaa epäilyttäviä tytäryhtiöitä. He esimerkiksi huomasivat, että käyttäjä napsautti MySpace-sivustoa, mutta tämä sivusto kuului täysin eri kumppaniverkostoon kuin se, joka sai oikeutetun edun.
Nämä kaverit viisastuivat ja vuonna 2007 syntyi uudenlainen keksitäyte. Yhteistyökumppanit alkoivat sijoittaa koodiaan SSL-sivuille. Hypertext Transfer Protocol RFC 2616:n mukaan asiakkaiden ei pitäisi sisällyttää viittausotsikkokenttää suojaamattomaan HTTP-pyyntöön, jos viittaava sivu on siirretty suojatusta protokollasta. Tämä johtuu siitä, että et halua näiden tietojen vuotavan verkkotunnuksestasi.
Tästä on selvää, että kumppanille lähetetty Referer ei ole jäljitettävissä, joten pääkumppanit näkevät tyhjän linkin eivätkä voi potkaista sinua ulos sen takia. Nyt huijareilla on mahdollisuus valmistaa "täytettyjä evästeitään" rankaisematta. Totta, kaikki selaimet eivät salli sinun tehdä tätä, mutta on monia muita tapoja tehdä sama asia käyttämällä selaimen automaattista nykyisen sivun metapäivityksen, sisällönkuvauskenttien tai JavaScriptin päivitystä.
Vuonna 2008 he alkoivat käyttää tehokkaampia hakkerointityökaluja, kuten DNS-uudelleensidontahyökkäyksiä, Gifaria ja haitallista Flash-sisältöä, jotka voivat tuhota olemassa olevat suojausmallit kokonaan. Kestää jonkin aikaa selvittää, kuinka niitä käytetään, koska Cookie-Stuffing-tyypit eivät ole erityisen edistyneitä hakkereita, he ovat vain aggressiivisia markkinoijia, joilla on vähän koodaustietoa.
Myydään puoliksi saatavilla olevaa tietoa
Joten olemme tarkastelleet, kuinka ansaita 6-numeroisia summia, ja siirrytään nyt seitsennumeroisiin summiin. Tarvitsemme paljon rahaa rikastuaksemme tai kuollaksemme. Katsomme, kuinka voit ansaita rahaa myymällä puoliksi saatavilla olevaa tietoa. Business Wire oli erittäin suosittu pari vuotta sitten ja se on edelleen tärkeä, näemme sen läsnäolon monilla sivustoilla. Niille, jotka eivät tiedä, Business Wire tarjoaa palvelun, jonka avulla sivuston rekisteröidyt käyttäjät saavat virran ajantasaisia lehdistötiedotteita tuhansilta yrityksiltä. Tälle yritykselle lähettävät lehdistötiedotteita eri organisaatiot, jotka ovat toisinaan väliaikaisten kieltojen tai kauppasaartojen alaisia, joten näiden tiedotteiden sisältämät tiedot voivat vaikuttaa osakkeiden hintaan.
Lehdistötiedotetiedostot ladataan Business Wire -verkkopalvelimelle, mutta niitä ei linkitetä ennen kuin vientikielto on purettu. Lehdistötiedotesivut on koko ajan linkitetty pääsivustolle, ja käyttäjille ilmoitetaan niistä seuraavilla URL-osoitteilla:
http://website/press_release/08/29/2007/00001.html http://website/press_release/08/29/2007/00002.html http://website/press_release/08/29/2007/00003.htmSiten, kun olet kauppasaarron alaisena, julkaiset mielenkiintoisia tietoja sivustolla, jotta käyttäjät tutustuvat siihen heti, kun vientikielto puretaan. Nämä linkit on päivätty ja lähetetään käyttäjille sähköpostitse. Kun kielto vanhenee, linkki toimii ja ohjaa käyttäjän sivustolle, jossa vastaava lehdistötiedote on julkaistu. Ennen lehdistötiedotesivulle pääsyn myöntämistä järjestelmän tulee varmistaa, että käyttäjä on kirjautunut sisään laillisesti.
He eivät tarkista, onko sinulla oikeus nähdä nämä tiedot ennen vientikiellon umpeutumista, vaan sinun tarvitsee vain kirjautua sisään järjestelmään. Toistaiseksi se näyttää vaarattomalta, mutta se, että et näe jotain, ei tarkoita, etteikö sitä olisi olemassa.
Virolainen finanssipalveluyritys Lohmus Haavel & Viisemann, ei ollenkaan hakkerit, huomasi lehdistötiedotesivujen nimeämisen ennustetulla tavalla ja alkoi arvailla URL-osoitteita. Vaikka linkkejä ei ehkä vielä ole, koska kauppasaarto on voimassa, tämä ei tarkoita, että hakkeri ei voisi arvata tiedoston nimeä ja siten päästä käsiksi siihen ennenaikaisesti. Tämä menetelmä toimi, koska Business Wiren ainoa turvatarkastus oli, että käyttäjä oli kirjautunut sisään laillisesti eikä mitään muuta.
Virolaiset saivat siis tiedon ennen markkinoiden sulkeutumista ja myivät tiedot. Kunnes SEC jäljitti heidät ja jäädytti heidän tilinsä, he onnistuivat ansaitsemaan 8 miljoonaa dollaria kaupastamalla puoliksi saavutettavia tietoja. Ajattele sitä, nämä kaverit vain katsoivat, miltä linkit näyttivät, yrittivät arvata URL-osoitteet ja tienasivat siitä 8 miljoonaa. Yleensä tässä vaiheessa kysyn yleisöltä, onko tämä laillista vai laitonta, onko se kaupankäyntiä vai ei. Mutta toistaiseksi haluan vain kiinnittää huomiosi siihen, kuka tämän teki.
Ennen kuin yrität vastata näihin kysymyksiin, näytän sinulle seuraavan dian. Tämä ei liity suoraan verkkopetokseen. Ukrainalainen hakkeri hakkeroi liiketoimintatiedon toimittaja Thomson Financialin ja varasti tiedot IMS Healthin taloudellisista ahdingoista tunteja ennen kuin tiedon oli määrä saapua rahoitusmarkkinoille. Ei ole epäilystäkään siitä, että hän on syyllistynyt hakkerointiin.
Hakkeri teki myyntitilauksia 42 tuhannen dollarin arvosta ja pelasi ennen kuin hinnat laskivat. Ukrainalle tämä on valtava määrä, joten hakkeri tiesi hyvin, mihin hän oli ryhtymässä. Osakekurssin äkillinen lasku toi hänelle noin 300 XNUMX dollaria voittoa muutamassa tunnissa. Pörssi julkaisi "Punaisen lipun", SEC jäädytti varat havaitessaan, että jotain oli menossa pieleen, ja aloitti tutkimuksen. Tuomari Naomi Reis Buchwald kuitenkin sanoi, että varat pitäisi vapauttaa, koska Dorozhkon syytökset "varkaudesta ja kaupankäynnistä" ja "hakkerointia ja kaupankäyntiä" koskevat syytökset eivät riko arvopaperilakeja. Hakkeri ei ollut tämän yrityksen työntekijä, joten hän ei rikkonut luottamuksellisten taloudellisten tietojen paljastamista koskevia lakeja.
The Times ehdotti, että Yhdysvaltain oikeusministeriö yksinkertaisesti piti tapausta turhana, koska Ukrainan viranomaisia oli vaikea saada suostumaan yhteistyöhön tekijän kiinni saamiseksi. Joten tämä hakkeri sai 300 tuhatta dollaria erittäin helposti.
Vertaa nyt tätä edelliseen tapaukseen, jossa ihmiset tekivät rahaa yksinkertaisesti vaihtamalla selaimensa linkkien URL-osoitteita ja myymällä kaupallisia tietoja. Nämä ovat varsin mielenkiintoisia, mutta eivät ainoita tapoja ansaita rahaa pörssissä.
Ajatellaanpas passiivista tiedonkeruuta. Tavallisesti ostaja saa verkkokaupan jälkeen tilauksen seurantakoodin, joka voi olla peräkkäinen tai näennäisperäkkäinen ja näyttää suunnilleen tältä:
3200411
3200412
3200413
Sen avulla voit seurata tilaustasi. Pentestoijat tai hakkerit yrittävät indeksoida URL-osoitteita päästäkseen käsiksi tilaustietoihin, jotka yleensä sisältävät henkilökohtaisia tunnistetietoja (PII):
http://foo/order_tracking?id=3200415
http://foo/order_tracking?id=3200416
http://foo/order_tracking?id=3200417Selaamalla numeroita he pääsevät käsiksi ostajan luottokorttien numeroihin, osoitteisiin, nimiin ja muihin henkilökohtaisiin tietoihin. Emme kuitenkaan ole kiinnostuneita asiakkaan henkilötiedoista, vaan itse tilauksen seurantakoodista, olemme kiinnostuneita passiivisesta tiedustelusta.
Päätelmien tekemisen taito
Harkitse "päätelmän taitoa". Jos pystyt arvioimaan tarkasti, kuinka monta ”tilausta” yritys käsittelee vuosineljänneksen lopussa, voit historiatietojen perusteella päätellä, onko sen taloudellinen tilanne hyvä ja miten sen osakekurssi tulee heilahtelemaan. Esimerkiksi tilasit tai ostit jotain vuosineljänneksen alussa, sillä ei ole väliä, ja teit sitten uuden tilauksen vuosineljänneksen lopussa. Lukujen eron perusteella voidaan päätellä, kuinka monta tilausta yritys käsitteli tänä aikana. Jos puhumme tuhannesta tilauksesta verrattuna sataantuhanteen saman edellisen ajanjakson tilauksiin, voit olettaa, että yrityksellä menee huonosti.
Tosiasia on kuitenkin, että usein nämä järjestysnumerot voidaan saada ilman, että tilaus on suoritettu loppuun tai tilaus peruutetaan myöhemmin. Toivon, että näitä numeroita ei näytetä missään tapauksessa ja sarja jatkuu numeroilla:
3200418
3200419
3200420
Näin tiedät, että pystyt seuraamaan tilauksia ja voit alkaa kerätä passiivisesti tietoja sivustolta, jonka ne tarjoavat meille. Emme tiedä, onko se laillista vai ei, tiedämme vain, että se voidaan tehdä.
Olemme siis tarkastelleet erilaisia liiketoimintalogiikan puutteita.
Trey Ford: hyökkääjät ovat liikemiehiä. He odottavat sijoitukselleen tuottoa. Mitä enemmän tekniikkaa, mitä suurempi ja monimutkaisempi koodi on, sitä enemmän työtä on tehtävä ja sitä suurempi on todennäköisyys jäädä kiinni. Mutta on monia erittäin kannattavia tapoja suorittaa hyökkäyksiä ilman vaivaa. Liikelogiikka on valtava bisnes, ja rikollisilla on valtava kannustin hakkeroida se. Liiketoiminnan logiikan puutteet ovat rikollisten ensisijainen kohde, eikä niitä voida havaita pelkällä skannauksella tai standardinmukaisella testauksella osana laadunvarmistusprosessia. QA:ssa on psykologinen ongelma, jota kutsutaan "vahvistusharhaksi", koska ihmisten tavoin haluamme tietää, että olemme oikeassa. Siksi on välttämätöntä suorittaa testaus todellisissa olosuhteissa.
Kaikkea ja kaikkia on testattava, koska kaikkia haavoittuvuuksia ei voida havaita kehitysvaiheessa koodia analysoimalla tai edes laadunvarmistuksen aikana. Joten sinun on käytävä läpi koko liiketoimintaprosessi ja kehitettävä kaikki toimenpiteet sen suojaamiseksi. Historiasta voidaan oppia paljon, koska tietyntyyppiset hyökkäykset toistuvat ajan myötä. Jos sinut herättää eräänä yönä suorittimen piikki, voit olettaa, että joku hakkeri yrittää jälleen jäljittää voimassa olevia alennuskuponkeja. Todellinen tapa tunnistaa hyökkäystyyppi on tarkkailla aktiivista hyökkäystä, koska sen tunnistaminen lokihistorian perusteella on erittäin vaikeaa.
Jeremy Grossman: joten tässä on mitä opimme tänään.
Captchan arvaaminen voi ansaita nelinumeroisen dollarin summan. Verkkomaksujärjestelmien manipulointi tuo hakkereille viisinumeroisia voittoja. Pankkien hakkerointi voi ansaita yli viisinumeroisia voittoja, varsinkin jos teet sen useammin kuin kerran.
Verkkokaupan huijaukset nettoavat sinulle kuusi numeroa, kun taas tytäryhtiöverkkojen käyttö nettouttaa sinulle 5-6 numeroa tai jopa seitsemän numeroa. Jos olet tarpeeksi rohkea, voit yrittää huijata osakemarkkinoita ja saada enemmän kuin seitsennumeroisia voittoja. Ja RSnake-menetelmän käyttäminen parhaan Chihuahuan kilpailuissa on yksinkertaisesti korvaamatonta!
Tämän esityksen uudet diat eivät luultavasti päässeet CD:lle, joten voit ladata ne myöhemmin blogisivultani. Syyskuussa on tulossa OPSEC-konferenssi, johon aion osallistua, ja uskon, että voimme luoda todella hienoja juttuja heidän kanssaan. Nyt, jos sinulla on kysyttävää, olemme valmiita vastaamaan niihin.
Muutamia mainoksia 🙂
Kiitos, että pysyt kanssamme. Pidätkö artikkeleistamme? Haluatko nähdä mielenkiintoisempaa sisältöä? Tue meitä tekemällä tilauksen tai suosittelemalla ystäville, , 30 %:n alennus Habr-käyttäjille ainutlaatuisesta lähtötason palvelimien analogista, jonka me keksimme sinulle: (saatavana RAID1:n ja RAID10:n kanssa, jopa 24 ydintä ja jopa 40 Gt DDR4-muistia).
Dell R730xd 2 kertaa halvempi? Vain täällä Alankomaissa! Dell R420 - 2x E5-2430 2.2 Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - alkaen 99 dollaria! Lukea
Lähde: will.com