Anatomia oszustwa „Visa Direct Developer” w środowisku sandbox
Cały proceder opiera się na celowym i zwodniczym utożsamianiu dwóch zasadniczo odmiennych rzeczy: środowiska testowego (sandbox) „Visa Direct Developer” oraz rzeczywistej, produkcyjnej sieci płatniczej Visa Direct.
Oszuści wykorzystują określenie „Visa Direct Developer” (które odnosi się wyłącznie do bezpłatnego, symulowanego środowiska testowego udostępnianego przez Visa twórcom oprogramowania), przedstawiając je tak, jakby było równoznaczne z rzeczywistym kanałem Visa Direct, czyli licencjonowaną i regulowaną infrastrukturą wykorzystywaną przez banki i instytucje płatnicze do przekazywania rzeczywistych środków w systemie VisaNet.
W rzeczywistości portal Visa Direct Developer nie ma żadnego technicznego, finansowego ani operacyjnego związku z VisaNet. Nie może uzyskać dostępu do rzeczywistych środków, inicjować rzeczywistych transakcji ani współdziałać z żadną rzeczywistą kartą płatniczą ani systemem bankowym. Całe to środowisko jest piaskownicą, symulatorem oprogramowania, przeznaczonym wyłącznie do testowania kodu. Każda „wysłana” w nim transakcja zwraca zakodowane na stałe, przygotowane z góry odpowiedzi w formacie JSON, całkowicie fikcyjne, służące wyłącznie wsparciu programistów w integracji oprogramowania.
W środowisku testowym (sandbox) nie są przenoszone żadne rzeczywiste środki, żadna transakcja nie trafia na działającą kartę ani rachunek, a żaden identyfikator widoczny w środowisku testowym nie istnieje w żadnym rzeczywistym systemie Visa.
Zatem każda osoba twierdząca, że „wysłała środki” za pomocą Visa Direct Developer, zwłaszcza okazując zrzuty ekranu z portalu dla deweloperów lub wynik JSON zawierający pola takie jak „transactionIdentifier”, jednoznacznie przedstawia fałszywe informacje. Jest to oszukańcza taktyka mająca imitować prawdziwe przepływy środków, podczas gdy w rzeczywistości żadna płatność nigdy nie została dokonana ani nie mogła zostać dokonana. Środowisko testowe (sandbox) jest równie niepowiązane z systemem finansowym, jak aplikacja kalkulatora z Państwa rachunkiem bankowym.
Poniżej przedstawiamy szczegółową analizę tego, w jaki sposób oszuści wykorzystują to nieporozumienie.
| Etap | Taktyka oszusta | Dlaczego wydaje się wiarygodne | Co faktycznie się dzieje |
|---|---|---|---|
| 1 – Konfiguracja | Rejestruje konto deweloperskie (bez licencji i bez procedury należytej staranności) i generuje przykładowe klucze API oraz testowe numery kart. | Każdy może to zrobić w ciągu kilku minut, co nadaje przedsięwzięciu pozór wiarygodności. | Klucze piaskownicy są odizolowane od sieci produkcyjnej; żadne środki nie mogą zostać przesunięte. |
| 2 – Fałszywe „Potwierdzenie posiadania środków” | Wykonuje wywołanie PushFunds w środowisku sandbox, rejestruje odpowiedź HTTP 200 OK oraz sfabrykowany transactionIdentifier. Przedstawia je jako zrzuty ekranu lub „potwierdzenia” w formacie PDF. | Treść odpowiedzi wygląda identycznie jak w przypadku rzeczywistej transakcji OCT (Original Credit Transaction). | Identyfikator istnieje wyłącznie w bazie danych środowiska testowego (sandbox); nigdy nie jest przekazywany do sieci Visa Net. |
| 3 – Wywołanie zaangażowania ofiary | Twierdzenia, że środki są „już w drodze, lecz oczekują na zgodność z wymogami”, oraz żądanie opłaty z góry (podatek, opłata za zwolnienie środków, zezwolenie AML itp.). | Ofiara może zweryfikować, że numer PAN zawarty w danych należy do jej karty; plik JSON potwierdza dokładną kwotę: mocny dowód psychologiczny. | Żaden BIN agenta rozliczeniowego (acquiring BIN) wskazany w rozmowie nie jest aktywny, więc płatność nigdy nie może zostać rozliczona. |
| 4 – Zwłoka i wymówki | Powołuje się na „ograniczenia w transgranicznym przepływie transakcji”, „zaległości w kolejce Visa” lub „brak obsługi Visa Direct po stronie banku odbiorcy”, aby zyskać na czasie po wniesieniu opłat. | Żargon techniczny zaciemnia istotę sprawy, a ofiara nie dysponuje wiedzą o schematach, która pozwoliłaby jej to obalić. | W końcu komunikacja ustaje lub oszust żąda dalszych płatności. |
Sygnały ostrzegawcze
| Wskaźnik | Dlaczego jest to niemożliwe w środowisku produkcyjnym |
|---|---|
| „Wysłano za pośrednictwem Visa Direct Developer z naszego departamentu skarbu” | Portal dla deweloperów ≠ działający kanał płatności typu push. |
| Zrzuty ekranu przedstawiają testowy numer BIN agenta rozliczeniowego (zwykle 4 × 0 lub 4 × 9) | Testowe numery BIN nigdy nie są kierowane przez sieć Visa Net. |
| Brak wskazanego licencjonowanego sponsora/agenta rozliczeniowego (acquirera); nadawcą jest osoba fizyczna lub mało znana spółka LLC | Visa wymaga sponsoringu ze strony agenta rozliczeniowego (acquirera) przed przejściem jakiegokolwiek projektu do środowiska produkcyjnego. |
| Wymagana z góry opłata za „uwolnienie” | Klasyczny schemat oszustwa polegającego na wyłudzaniu opłat z góry; prawidłowo realizowane OCT docierają do beneficjenta bez dodatkowych opłat obciążających ofiarę. |
Jak zweryfikować autentyczność (lista kontrolna – aspekty techniczne)
- Należy zażądać od agenta rozliczeniowego (acquirer) nadawcy rekordu aktywnej transakcji Original Credit Transaction (OCT); rekord taki nie będzie istniał.
- Należy zapytać bank wydający kartę, czy w działającej sieci Visa istnieje odpowiadający identyfikator transakcji; identyfikator ze środowiska testowego (sandbox) nie będzie w niej istniał.
- Należy sprawdzić numer BIN w polu acquiringBin: wartości takie jak 408999, 000000 lub jakakolwiek wartość niewystępująca w publicznej bazie numerów BIN wskazują na dane testowe.
- Należy zwrócić się do banku wydającego lub agenta rozliczeniowego nadawcy z prośbą o potwierdzenie, czy identyfikator transakcji (transactionIdentifier) istnieje w działającej sieci.
Ograniczanie ryzyka i alternatywne bezpieczne ścieżki
Podsumowanie dla kadry zarządzającej w jednym zdaniu
Jeżeli kontrahent twierdzi, że „wysłał środki za pośrednictwem Visa Direct Developer”, i popiera to zrzutami ekranu ze środowiska sandbox, należy traktować to jako rozstrzygający dowód oszustwa polegającego na wyłudzeniu opłat z góry: sandbox jest środowiskiem demonstracyjnym, a nie systemem płatniczym, i żadne środki nigdy nie mogą w ten sposób wpłynąć.
Kolejny krok
Poproś o spotkanie zapoznawcze
Prosimy o krótkie przedstawienie, kim Państwo są i co mają Państwo na myśli. Zapytanie trafia bezpośrednio do Banku i jest traktowane jako poufne.
Wolą Państwo porozmawiać? Prosimy zarezerwować 30-minutową wideokonferencję.