Nawet jeśli jest to losowanie to i tak jest to algorytm.
Post piwczan*’a z pmtg:
Generatory do zdrapek - czyli dlaczego nie ma to sensu.
Kazda zdrapka zawiera indywidualny numer, ktory sluzy jako kod do
doladowania konta prepaid.
Na pierwszy rzut oka wydaje sie, ze poznanie tajemnicy kodowania numerow
na zdrapkach moze dac dostep do nieograniczonych ilosci pieniedzy, czy
minut do wygadania. Nic bardziej mylnego. W rzeczywistosci ten
tajemniczy algorytm kodowania jest bardzo prosty. W wiekszosci systemow
"tajny kod" zajmuje okolo 25% calego numeru i jest to tylko... suma
kontrolna :-)
I tak dla przykladu wezmy numer ktory ma 14 cyfr. W przypadku 14
cyfrowego numeru podzial moze wygladac nastepujaco: 10 cyfr to numer
seryjny karty a tylko 4 sa generowane jako suma kontrolna i w
rzeczywistosci sluza sprawdzeniu, czy klient sie nie pomylil
wprowadzajac numer, a tylko przy okazji utrudniaja zycie oszustom.
Pierwsze 10 cyfr jest generowanych pseudolosowo z okreslonego zbioru.
Na podstawie tych informacji i analizy kilkudziesieciu numerow, kazdy
srednio zdolny programista jest w stanie przygotowac generator.
Wiec gdzie jest problem?
Problemem dla oszustow jest druga czesc systemu, czyli baza danych i
aplikacja do kontroli numerow. Po pierwsze do bazy danych sa wprowadzane
tylko te numery kart, ktore sa wydawane do sprzedazy. Tak wiec w danej
chwili w bazie danych jest stosunkowo niewielka grupa kart, ktore
zostaly wydane do sprzedazy, a nie zostaly jeszcze aktywowane, nazwijmy
je "numerami czystymi". Oprocz tego w bazie danych jest jeszcze bardzo
duza grupa tych kart, ktore zostaly juz przez klientow wykorzystane i te
nazwijmy "mumerami wykorzystanymi". Pozostaje jeszcze grupa trzecia, to
"numery puste", czyli takie, ktore nigdy do tej pory nie byly jeszcze
skierowane do sprzedazy.
Przeanalizujmy co sie dzieje w przypadku oszustwa.
Przypadek 1.
Oszust strzela na chybil - trafil i jak wynika z rachunku
prawdopodobienstwa trafia glownie w numery puste. Oczywiscie stan jego
konta sie nie zmienia, prawie :-) bowiem do jego konta przykleja sie
licznik, ktory cierpliwie zlicza puste strzaly. Po przekroczeniu
okreslonej liczby nieudanych prob jego numer telefonu automatycznie jest
przekazywany do sekcji zajmujacej sie oszustami. Jezeli jest to klient,
ktory sie zarejestrowal, pracownicy moga sie z nim skontaktowac i
probowac wyjasnic o co chodzi, Jezeli nie jest skory do rozmowy, to po
prostu wylaczaja mu numer, a maja do tego prawo, bo zlamal umowe. Jezeli
sie nie zarejestrowal to sprawa jest jeszcze prostsza, bo zlamal umowe
nie rejestrujac sie, wiec moze byc wylaczony automatycznie bez rozmowy,
a nawet automatycznie przez system bez zawracania glowy pracownikom.
Przypadek 2.
Tym razem oszust ma wiecej szczescia, ale trafia niestety w numery
wykorzystane. Tutaj analiza ze strony systemu moze byc bardziej
skomplikowana, ale zasdniczo przypadek ten nie rozni sie od przypadku
nr.1 i postepowanie jest identyczne.
Przypadek 3.
Oszust jest wyjatkowym farciarzem i trafia w numer czysty. Mozna tu
mowic o naprawde dobrym farcie, albo o opracowaniu skutecznego
generatora, co nie jest specjalnie ciezkim zadaniem, o czym pisalem na
wstepie. Co sie dalej dzieje w tym przypadku?
Ma farta, jego konto zostalo doladowane, ale oprocz doladowania konta,
zostal w bazie danych zapisany numer karty z ktorej sie doladowal, a w
drugiej tabeli, tej z numerkami, do wykorzystanego numeru dokleil sie
jego numer telefonu. Co sie stanie gdy uczciwy klient kupi w kiosku
zdrapke? No coz trafi go szlag, bo nie bedzie mogl doladowac konta. Co
zrobi wpieniony klient? Uda sie do sprzedawcy i bedzie reklamowac.
Jezeli przedstawi oryginalna zdrapke, to reklamacja zostanie uznana,
doladuja mu konto a sekcja ds oszust zajmie sie osoba, ktora skorzystala
z tego numeru wczesniej. I znowu postepowanie jest jak dla przypadku
nr.1 - Jest zarejestrowany do gadamy z nim, nie jest to automatycznie
wylaczamy.
Co z tego wynika?
- Generator oplaca sie tylko temu, kto nastawi sie na regularna
kradziez kart SIM prepaid, bo po kazdym oszustwie karta po kilku dniach
zamilknie. Na szczescie dla operatorow, osoby tak zdeterminowane do
kradziezy, raczej sie biora za zajecia bardziej intratne np. kradziez
samochodow.
- Warto sie rejestrowac, bo w przypadku posadzenia o nieuczciwe
doladowanie ktos w ogole bedzie chcial z nami rozmawiac, a nie wylaczy
karty bez ostrzezenia.
- Ze tak powinien dzialac system wedlug zalozen dla uslug prepaid, ale
niekoniecznie u polskich operatorow :-)
- Ze numery na kartach wcale nie musialy by byc kodowane, bo oszustwa i
tak by wychodzily, ale operatorzy mieli by przez to wiecej roboty.