Refunded but Rewarded: The Double Dip Attack on Cashback Reward Engines
Diese Arbeit untersucht Sicherheitslücken in Cashback-Programmen, die durch Rückbuchungen ausgenutzt werden können, und präsentiert eine formale Analyse, eine Taxonomie der Schwachstellen sowie defensive Gegenmaßnahmen, die auf der Untersuchung von sechs verschiedenen Emittenten basieren.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Das Problem: Der „Doppelte Keks"-Trick bei Cashback
Stellen Sie sich vor, Sie gehen in einen Supermarkt, kaufen eine Schokolade und bekommen dafür sofort einen kleinen Bonus-Gutschein (Cashback). Das ist völlig normal. Aber was passiert, wenn Sie die Schokolade zurückgeben, weil Sie sich doch anders entschieden haben?
In einer fairen Welt würde der Supermarkt Ihnen das Geld für die Schokolade zurückgeben und den Bonus-Gutschein wieder einziehen. Sie wären dann wieder genau dort, wo Sie angefangen haben: ohne Schokolade, ohne Geld, ohne Bonus.
Das Problem, das diese Forscher entdeckt haben, ist wie ein Zaubertrick:
Einige Banken und Zahlungsanbieter haben ein System, bei dem Sie den Bonus-Gutschein behalten dürfen, selbst wenn Sie die Schokolade zurückgeben.
- Sie kaufen etwas und bekommen Cashback.
- Sie tauschen den Cashback sofort gegen echtes Geld ein.
- Sie geben die Schokolade zurück und bekommen Ihr Kaufgeld zurück.
- Das Ergebnis: Sie haben die Schokolade nicht, aber Sie haben echtes Geld in der Tasche. Sie haben buchstäblich Geld aus dem Nichts erschaffen.
Die Forscher nennen dies den „Double Dip"-Angriff (Doppelte Einzahlung). Es ist wie ein Dieb, der einen Keks aus der Dose nimmt, ihn isst, aber die Dose wieder in den Schrank stellt, als wäre nichts geschehen.
Die drei Arten, wie das System versagt
Die Forscher haben sechs verschiedene Banken untersucht und festgestellt, dass es drei Hauptarten von „Lücken" in diesem System gibt, die diesen Trick ermöglichen:
1. Der vergessene Wächter (Fall A)
Stellen Sie sich einen Wächter vor, der die Kasse überwacht. Wenn jemand eine Schokolade kauft, schreibt er einen Bonus auf die Liste. Wenn jemand die Schokolade zurückbringt, ignoriert der Wächter das komplett. Er denkt: „Ach, das ist ja nur eine Rückgabe, ich muss meine Bonus-Liste nicht ändern."
- Das Ergebnis: Der Bonus bleibt einfach stehen, auch wenn die Transaktion gelöscht wurde. Das ist der gefährlichste Fehler, weil er gar nicht bemerkt wird.
2. Der Zeit-Fenster-Trick (Fall B)
Hier ist der Wächter schlauer, aber er arbeitet nur zu bestimmten Zeiten. Er schaut sich die Liste jeden Monat an, wenn der Monatsbericht fertig ist.
- Der Trick: Sie kaufen etwas Ende des Monats, bekommen den Bonus und tauschen ihn sofort ein. Dann warten Sie bis zum nächsten Monat, um die Schokolade zurückzugeben.
- Das Problem: Der Wächter hat den Bonus schon im letzten Monat als „fertig" abgehakt. Da der Rückgabetermin in den neuen Monat fällt, sieht der Wächter keine Verbindung mehr zwischen der Rückgabe und dem alten Bonus. Der Bonus bleibt bei Ihnen.
3. Der verzögerte Nachbesserer (Fall F)
Hier gibt es einen Wächter, der weiß, dass er korrigieren muss. Aber er ist langsam.
- Der Trick: Sie können Ihren Bonus sofort einlösen (wie bei Fall A). Aber der Wächter holt sich erst am Ende des Monats die Rückgabe-Informationen und zieht das Geld dann wieder ab.
- Das Problem: Wenn Sie den Bonus einlösen, die Schokolade zurückgeben und dann einfach aufhören, bei dieser Bank einzukaufen, bleibt der Wächter mit einem Minus auf seiner Liste zurück, das er nie ausgleichen kann. Sie haben das Geld schon abgehoben, bevor er es zurückfordern konnte.
Die Lösung: Ein smarterer Wächter
Die Forscher schlagen vor, wie man diesen Wächter reparieren muss, damit der Trick nicht mehr funktioniert. Sie nennen das „Verteidigungs-Algorithmen".
Stellen Sie sich vor, jeder Bonus ist wie ein Pfand, das an den Kauf gebunden ist.
- Jeder Kauf hat eine eigene Akte: Nicht nur eine große Liste für den Monat, sondern für jeden einzelnen Einkauf eine eigene Karte.
- Sofortige Korrektur: Wenn eine Rückgabe kommt, wird sofort die genaue Karte dieses Einkaufs geprüft und der Bonus davon abgezogen.
- Schulden-Regel: Wenn jemand den Bonus schon ausgegeben hat, aber dann zurückgibt, steht auf seiner Karte ein Minus (eine Schulden). Er kann keinen neuen Bonus bekommen, bis er diese Schulden durch neue Einkäufe wieder abgearbeitet hat. Man kann die Bank nicht einfach verlassen, solange man Schulden hat.
Warum ist das wichtig?
Die Forscher sagen: „Wir kritisieren nicht die Banken persönlich." Aber sie wollen zeigen, dass die Logik hinter diesen Belohnungssystemen oft nicht so sicher ist wie das Geldsystem selbst.
- Für die Banken: Wenn sie diesen Fehler nicht beheben, verlieren sie Millionen von Dollar, die sie eigentlich nicht verschenken wollten.
- Für uns: Es ist ein Beispiel dafür, wie wichtig es ist, dass Computerprogramme nicht nur funktionieren, sondern auch „fair" und logisch denken. Ein Programm, das vergisst, einen Bonus zurückzunehmen, wenn eine Ware zurückgegeben wird, ist wie ein Tresor, der offen steht, wenn man den Schlüssel abgibt.
Zusammenfassend:
Die Studie zeigt, dass man mit einfachen Tricks (Kaufen, Einlösen, Zurückgeben) bei manchen Banken kostenlos Geld verdienen kann, weil deren Computerprogramme die Logik von „Rückgabe = Bonus zurücknehmen" nicht verstanden haben. Die Lösung ist einfach: Jeder Bonus muss fest mit dem Kauf verknüpft sein und bei einer Rückgabe sofort korrigiert werden.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.