Já imaginou levar para casa 3 carros que juntos valem mais de US$ 40 mil (R$ 197,3 mil) e pagar apenas US$ 1 (R$ 4,93) por eles?Foi o que fez Evan James Coker, morador de Oklahoma, nos Estados Unidos, após hackear a fórmula de pagamento do governo conectada a um site de leilões.
De acordo com uma reportagem do portal Jalopnik, não é o site GSA Auctions, culpado pelo leilão de carros usados, que é alvo do ataque cibernético, mas a página pay. gov, culpada de processar faturas para os lances vencedores.
De acordo com dados da Promotoria de Minnesota, Coker fez lances genuínos e conseguiu ganhar 19 peças no leilão, mas com seu esquema fraudulento, ele pagou apenas US $ 1 por cada item, adicionando um Ford Escape Hybrid 2010, pelo qual ele fez um lance de US $ 1. R$ 8. 327; uma caminhonete Ford F550, pela qual ele apresentou R$ 9 mil; e uma caminhonete Chevrolet C4500, ao preço de US$ 22,7 mil (mais de R$ 112 mil).
Após a descoberta da fraude, a principal questão foi colocada por meio do governo local: como o hacker conseguiu apresentar lances genuínos, pagando apenas um dólar por cada um dos produtos leiloados?A explicação foi dada por meio da Promotoria de Minnesota.
“Quando Coker ganhava um leilão específico, ele era direcionado ao site pay.gov para efetuar o pagamento no valor do lance vencedor. Em vez de remeter o pagamento no valor de seu lance vencedor, Coker violou o site pay.gov e falsificou o verdadeiro preço do leilão para US$ 1”.
O site pay.gov é uma espécie de ponte de pagamento para as lojas virtuais. A principal função é autorizar o pagamento online e avisar ao contratante que a operação foi efetuada com sucesso, independentemente do valor. O simples ato da não-conferência do valor pode ter facilitado o trabalho do hacker, que se aproveitou da vulnerabilidade do sistema para aplicar o golpe.
De acordo com as autoridades, a falha que levou o hacker a comprar 3 carros e muitas outras peças por apenas US$ 1 cada já está em andamento e pode não acontecer novamente, e processos judiciais já estão em andamento contra Evan James por fraude.
Fonte: Jalopnik