Refunded but Rewarded: The Double Dip Attack on Cashback Reward Engines
यह शोध पत्र कैशबैक रिवॉर्ड सिस्टम में "डबल डिप" (double dip) कमजोरियों के एक वर्ग की पहचान और विश्लेषण करता है जहाँ लेनदेन रिफंड को संभालने में खामियां उपयोगकर्ताओं को रिवॉर्ड्स को अवैध रूप से बनाए रखने के लिए टाइमिंग अंतराल या छूटे हुए समायोजनों का फायदा उठाने की अनुमति देती हैं, और रिवॉर्ड अखंडता सुनिश्चित करने के लिए एक औपचारिक स्टेट-मशीन मॉडल, एक भेद्यता वर्गीकरण (vulnerability taxonomy), और रक्षात्मक एल्गोरिदम प्रस्तावित करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपके पास एक जादुई पिग्गी बैंक (गुल्लक) है जो हर बार कुछ खरीदने पर आपको थोड़ा अतिरिक्त पैसा देता है। मान लीजिए, आप 5 वापस देता है। आप उस $5 का उपयोग तुरंत कैंडी खरीदने के लिए कर सकते हैं।
अब, कल्पना कीजिए कि आप वह जैकेट नहीं रखना चाहते। आप उसे वापस दुकान पर ले जाते हैं, और दुकान आपको आपके पूरे $100 वापस कर देती है।
बड़ा सवाल: आपके $5 के इनाम का क्या होता है?
एक आदर्श दुनिया में, बैंक कहता, "ओह, आपको आपके पैसे वापस मिल गए हैं, इसलिए आपको $5 का इनाम नहीं मिलना चाहिए। हम उसे आपके पिग्गी बैंक से वापस ले लेंगे।"
लेकिन यह पेपर बताता है कि कुछ बैंकों के लिए, जवाब यह है: "आप $5 अपने पास रखें। हम इसे वापस लेना भूल गए।"
इसे "डबल डिप अटैक" (Double Dip Attack) कहा जाता है। यह एक ऐसी खामी (loophole) है जहाँ एक व्यक्ति कुछ खरीद सकता है, इनाम प्राप्त कर सकता है, आइटम को पूरी रिफंड के साथ वापस कर सकता है, और मुफ्त पैसे (इनाम) और बिना किसी लागत (रिफंड) के हाथ में लेकर निकल सकता है।
यहाँ एक सरल विवरण दिया गया है कि शोधकर्ताओं ने इसे कैसे खोजा, यह विभिन्न तरीकों से कैसे होता है, और इसे कैसे ठीक किया जा सकता है।
1. "भुलक्कड़" बैंकों के तीन प्रकार
शोधकर्ताओं ने छह अलग-अलग बैंकों (जिन्हें उन्होंने गुमनाम रखा) का परीक्षण किया और पाया कि ये सिस्टम तीन अलग-अलग तरीकों से विफल होते हैं। इन्हें "भुलक्कड़पन" के तीन स्तरों के रूप में सोचें।
स्तर 1: "ब्लैंक स्लेट" बैंक (इश्यूअर A)
- रूपक (Metaphor): कल्पना कीजिए कि एक वेटर आपका ऑर्डर लेता है, आपको एक मुफ्त ऐपेटाइज़र (स्टार्टर) देता है, और फिर आप उसे बताते हैं कि आप मुख्य व्यंजन (main course) नहीं लेना चाहते। वह मुख्य व्यंजन के लिए आपके पैसे वापस कर देता है लेकिन पूरी तरह से भूल जाता है कि आपने ऐपेटाइज़र भी ऑर्डर किया था। वह इसे वापस नहीं मांगता।
- क्या होता है: आप 2.50 कैशबैक पाते हैं, और इसे तुरंत भुना लेते हैं। फिर आप उस चीज़ को वापस कर देते हैं। बैंक आपको 2.50 आपकी जेब में ही छोड़ देता है।
- परिणाम: आपने केवल कुछ खरीदने और वापस करने के बदले $2.50 कमा लिए। आप इसे हर महीने तब तक कर सकते हैं जब तक आप अपनी सीमा तक न पहुँच जाएँ।
स्तर 2: "कैलेंडर से भ्रमित" बैंक (इश्यूअर B)
- रूपक: कल्पना कीजिए कि एक क्लब महीने के अंत में आपके पॉइंट्स गिनता है। आप जनवरी के अंतिम सप्ताह में एक उपहार खरीदते हैं। क्लब कहता है, "बहुत बढ़िया! आपके पास पॉइंट्स हैं," और तुरंत आपको एक गिफ्ट कार्ड दे देता है। लेकिन आप फरवरी के पहले सप्ताह में वह उपहार वापस कर देते हैं।
- क्या होता है: क्योंकि क्लब की "पॉइंट गिनती" एक सख्त मासिक शेड्यूल पर होती है, उन्होंने जनवरी में ही आपको इनाम दे दिया था। जब फरवरी में वापसी (return) होती है, तो सिस्टम पीछे जनवरी में नहीं देखता कि "रुको, वह ट्रांजेक्शन अब खत्म हो चुका है।" इनाम तो पहले ही आपका हो चुका है।
- परिणाम: आपको इनाम मिल जाता है क्योंकि आप तेज़ थे, और आपको रिफंड मिल जाता है क्योंकि स्टोर धीमा है। क्लब के कैलेंडर ने सच्चाई के रास्ते में बाधा डाल दी।
स्तर 3: "प्रतिक्रिया देने में धीमा" बैंक (इश्यूअर F)
- रूपक: यह बैंक अधिक समझदार है लेकिन फिर भी इसमें एक अंतर है। वे कहते हैं, "ठीक है, आपने टीवी खरीदा, यहाँ 100 पॉइंट्स हैं। आप उन्हें अभी खर्च कर सकते हैं।" लेकिन यदि आप टीवी वापस करते हैं, तो वे महीने के अंत तक पॉइंट्स वापस नहीं लेते।
- क्या होता है: आप टीवी खरीदते हैं, पॉइंट्स पाते हैं, उन्हें पिज्जा पर खर्च करते हैं, और फिर टीवी वापस कर देते हैं। अब आपके पास "नेगेटिव बैलेंस" के पॉइंट्स हैं (यानी आप बैंक के 100 पॉइंट्स के ऋणी हैं)। लेकिन आप पिज्जा तो खा चुके हैं!
- परिणाम: आप कुछ हफ्तों के लिए मुफ्त में पिज्जा का आनंद लेते हैं। यदि आप उसके बाद कार्ड का उपयोग करना बंद कर देते हैं, तो बैंक उस कर्ज के साथ फंस जाता है जिसे आप कभी नहीं चुकाते। यह एक महीने के लिए ब्याज-मुक्त ऋण लेने जैसा है।
2. "अच्छे" बैंक (इश्यूअर्स C, D, और E)
शोधकर्ताओं ने तीन ऐसे बैंक भी खोजे जिन्होंने इसे सही ढंग से किया।
- रूपक: ये बैंक एक सख्त मुनीम (accountant) की तरह हैं। यदि आप एक टीवी खरीदते हैं और पॉइंट्स पाते हैं, और फिर आप टीवी वापस करते हैं, तो वे तुरंत पॉइंट्स वापस ले लेते हैं।
- ट्विस्ट: यदि आपने उन पॉइंट्स को पिज्जा पर खर्च कर दिया था, तो आपका पॉइंट बैलेंस नेगेटिव हो जाता है। अब आप बैंक के ऋणी हैं। आप तब तक कोई नए पॉइंट्स नहीं पा सकते जब तक आप उस कर्ज को चुकाने के लिए पर्याप्त पॉइंट्स अर्जित न कर लें।
- यह क्यों काम करता है: आप "डबल डिप" नहीं कर सकते क्योंकि जैसे ही आप आइटम वापस करते हैं, इनाम गायब हो जाता है और आप कर्ज में होते हैं।
3. लीकेज को कैसे ठीक करें
पेपर एक सरल सेट नियमों (एल्गोरिदम) का सुझाव देता है:
- हर आइटम को ट्रैक करें: केवल कुल खर्च न गिनें। खरीदी गई हर एक वस्तु और उससे मिले इनाम की एक छोटी रसीद रखें।
- "क्लॉबैक" (Clawback) नियम: यदि कोई आइटम वापस किया जाता है, तो तुरंत गणना करें कि उस विशिष्ट आइटम से कितना इनाम जुड़ा था और उसे वापस ले लें।
- नेगेटिव बैलेंस की अनुमति दें: यदि उपयोगकर्ता आइटम वापस करने से पहले अपने इनाम को खर्च कर देता है, तो उनके बैलेंस को नेगेटिव होने दें। जब तक वे कर्ज को ठीक करने के लिए पर्याप्त न कमा लें, उन्हें और अधिक निकालने न दें।
- "वेट एंड सी" (Wait and See) अवधि: बैंकों के लिए जो महीने में एक बार रिवॉर्ड की गणना करते हैं, उन्हें महीने के खत्म होने के कुछ दिनों बाद रिवॉर्ड पर "होल्ड" लगाना चाहिए, ताकि देरी से होने वाली वापसी (return) को संभाला जा सके।
4. आपको इसकी परवाह क्यों करनी चाहिए?
आप सोच सकते हैं, "मैं एक अच्छा इंसान हूँ; मैं बैंक को धोखा नहीं दूँगा।"
लेकिन पेपर का तर्क है कि ये केवल अपराधियों के लिए "हैक" नहीं हैं। ये सॉफ्टवेयर में लॉजिक एरर (तर्क संबंधी त्रुटियाँ) हैं।
- यह चोरी के बारे में नहीं है: शोधकर्ताओं ने अपने स्वयं के वास्तविक क्रेडिट कार्ड का उपयोग किया और वास्तविक चीजें खरीदीं। उन्होंने बैंक को हैक नहीं किया; उन्होंने बस उन नियमों का पालन किया जो बैंक ने लिखे थे, जिनमें एक खामी थी।
- यह सभी के पैसे को प्रभावित करता है: जब बैंक इन खामियों के कारण पैसा खोते हैं, तो वे सबके लिए शुल्क बढ़ा सकते हैं या रिवॉर्ड देना बंद कर सकते हैं।
- इसे ठीक करना आसान है: समाधान कोई जटिल AI नहीं है। यह बस यह सुनिश्चित करना है कि वापसी (return) होने पर सॉफ्टवेयर गणित की जाँच करे।
निष्कर्ष
यह पेपर बैंकों और भुगतान ऐप्स के लिए एक चेतावनी है। वे वास्तविक धन के हस्तांतरण को सुरक्षित करने के लिए लाखों डॉलर खर्च करते हैं (ताकि हैकर्स आपका कैश न चुरा सकें), लेकिन वे अक्सर अपने रिवॉर्ड सिस्टम को सुरक्षित करना भूल जाते हैं।
यह एक किले में विशाल लोहे के गेट (भुगतान प्रणाली) बनाने जैसा है, लेकिन पीछे का दरवाजा (रिवॉर्ड सिस्टम) खुला छोड़ देने जैसा है जिस पर "स्वागत है" का बोर्ड लगा हो। शोधकर्ताओं ने हमें दिखाया कि पिछला दरवाजा खुला है, यह भी बताया कि वहां से कैसे निकला जा सकता है, और इसे लॉक करने के ब्लूप्रिंट भी दिए।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।