Махинации с бюро кредитных историй.
В данном документе будут описаны лазейки и эксплоиты применимые к Бюро Кредитных Историй США, которые позволят существенно повысить свой (или чей-то) возможный кредит на сотни тысяч долларов.
Хотя описанные ниже методы использовались для личной (легальной) выгоды небольшого кардерского комьюнити, те же самые методы могут использоваться и куда менее честными людьми - криминальными личностями с целью нарушить закон, втянуть в пирамиду кучу людей и свалить с деньгами.
Целью данного документа является освещение этих эксплоитов, их анализ сквозь призму сообщества по компьютерной безопасности, а также предложение исправлений, которые значительно снизят эффективность существующих эксплоитов, с какими бы намерениями они не использовались.
2. Система потребительских кредитов в США
3. Как получить выгоду от кредитной системы
4. Кредитные уязвимости и эксплоиты
5. Предлагаемые улучшения
Экономика США во многом зависит от предоставления детализированной информации кредитной истории покупателя [1].
Благодаря кредитной системе, покупатель, не имеющий никаких отношений с автосалоном, может придти, выписать чек и укатить на новеньком авто за 50,000$ [2].
В странах, где нет системы кредитных историй, вам бы пришлось расплатиться наличкой или же получать гарантийное письмо от банка, которое подтвердит вашу платежеспособность.
Три частные корпорации, известные как Бюро Кредитных Историй (БКИ), собирают и распространяют информацию о истории платежей и кредитоспособности миллионов американцев [3].
Финансовые компании, которые одалживают деньги клиентам (с использованием кредитных карт, ипотеки или кредитов на обучение), передают финансовую информацию БКИ. Передаваемая информация может быть как положительной, так и отрицательной, и, как правило, предоставляется в виде истории платежей [4].
Бюро Кредитных Историй выступают в роли механизма учета[5] или репутационной системы[6], при помощи которой кредитор может оценить возможные риски без всякого взаимодействия с заемщиком.
Основываясь на информации, представленной в кредитном отчете, кредитор может повысить или понизить процентную ставку, потребовать внушительного первоначального взноса или же вообще отказать в кредите.
В литературе по ИнфоБезу уже были случаи атак на системы репутаций [7]. Обычно хакеры фальсифицировали информацию, хранимую системами, для ввода в заблуждение или атак третьих лиц.
В данном документе показаны уязвимости, которые постоянно используются смекалистыми пользователями для изменения своих кредитных историй.
Контролируя свою финансовую репутацию, кардеры могут получить гораздо более значимые кредиты, чем могли бы получить на самом деле.
Вообще-то это, конечно, не хаки и эксплоиты в традиционном понимании, так как не требуют не авторизованного доступа к компьютерным системам.
Более того, во многих случаях, атакующий даже не взаимодействует с БКИ напрямую, хотя его цель по-прежнему состоит в изменении кредитных данных, которые хранятся в БКИ.
А так как эти атаки не являются жульничеством или обманом, то было бы не корректно ассоциировать их с социальной инженерией.
Эти методы используют процессы в жестко сформулированных протоколах связи между БКИ и кредиторами.
Мы проанализируем эти уязвимости и их использование с точки зрения компьютерной безопасности.
Многие эксплоиты - это книжные примеры известных проблем компьютерных систем. Это race conditions, atomic data access и queue overflows [10] . Все эти проблемы тщательно проанализированы в литературе и используются хакерами.
Благодаря знаниям в областях компьютерной безопасности, финансов и права мы можем эффективно проанализировать уязвимости и предложить соответствующие решения.
Наконец, хотя мы могли бы опробовать и испытать эти методы на собственном примере, из-за возможных конфиктов с законом, к которым может привести такая попытка и её описание, мы будем опираться на опубликованные в интернет-форумах подробные отчёты многочисленных кредитных хакеров, обнаруживших и продолжающих активно использовать данные уязвимости [11].
Вторая глава, по сути, является введением в систему потребительских кредитов в США.
В 3-ей главе покажем несколько способов, которые могут влиять на кредитный отчет, который в свою очередь позволит вам взять в кредит кучу денег.
4-ая глава расскажет о лазейках, которые еще больше увеличат кредитные средства.
А в 5-ой главе будут предложены способы прикрытия вышеописанных лазеек.
2. Система потребительского кредитования в США
Доступность централизованных детальных отчётов о характере получения и выплаты кредитов отдельными потребителями привела к фундаментальным изменениям экономики США, а также облегчила получение потребителями новых кредитных линий [12].
Три частных бюро кредитных историй (БКИ) - Experian, Equifax и Transunion - собирают подробную информацию о фактах выплаты и получения кредитов потребителями [13].
Эта информация затем используется кредиторами для определения кредитоспособности потребителя, как уже имеющего кредиты, так и не имеющего.
У БКИ есть файл-досье, содержащее информацию по каждому человеку, пользующемуся кредитами в США.
Более двух миллиардов записей добавляется в эти файлы-досье ежемесячно, и более трёх миллионов кредитных отчётов предоставляется ежедневно [14].
Основная роль БКИ заключается в предоставлении подробной кредитной истории финансовым учреждениям - учреждениям, с которыми потребитель уже имеет дело, с которыми потребитель устанавливает деловые отношения, а также компаниям, которые не имеют деловых отношений с конкретными потребителями, но заинтересованы в возможности установления таких отношений.
2.1. Подача заявления на получение кредитной линии
После заключения договора с кредитно-финансовым учреждением клиенту предоставляется кредитная линия.
Она может быть представлена в виде кредитной карты, автокредита, закладной, ипотеки, образовательного кредита или чего-либо другого из множества финансовых продуктов.
Однако, перед одобрением этой кредитной линии, учреждение обычно обращается в одно (а иногда и несколько) БКИ для получения копии кредитной истории клиента и оценки его кредитоспособности.
Используя эту информацию кредитор может определить кредитоспособность клиента и оценить потенциальные кредитные риски.
Хотя крупные банки имеют некоторую свободу в выборе конкретного БКИ в зависимости от географического местонахождения клиента, большинство кредиторов тяготеют к использованию одних и тех же БКИ для запроса клиентского досье.
То есть, хотя обращения в один и тот же банк двух клиентов из разных штатов могут обрабатываться с помощью запросов в два разных БКИ, обращения в один и тот же банк клиентов из одного штата с большой долей вероятности будут обрабатываться с помощью запросов в одно БКИ.
После установления отношений с клиентом финансовое учреждение будет регулярно предоставлять информацию о балансе и платежах клиента в каждый из трёх БКИ [15].
Эта информация включает в себя текущий адрес клиента, общий размер кредитной линии, баланс по последней выписке, дату и сумму последнего платежа, а также корректировку ранее поданых сведений, если в них обнаружены ошибки.
Рисунок 1: Частичный список открытых кредитных линий из кредитного отчёта (номера счетов изменены)
2.2. Кредитный отчет
У БКИ есть файл, содержащий информацию о каждом человеке, пользующимся кредитами, в США, что составляет приблизительно 90% взрослого населения [16].
Каждое БКИ управляет своими данными, используя информацию, передаваемую напрямую к ним от частных банков, финансовых учреждений, государственных структур и налоговых органов [17].
Одним из самых важных параметров в пользовательском отчете является кредитный счет, который содержит широкий набор сведений о каждом счете.
Среди этих сведений находятся такие сведения как дата заключения договора; тип счета - возобновляемый, рассрочка или ипотека; текущий долг; максимальный долг; кредитные лимиты, если присутствуют; информация о интенсивности платежей, такая как период в течение которого был или есть долг по кредиту [18].
Так как каждое БКИ получает информацию о потребителях независимо и не синхронизирует данные между другими БКИ, то возможна такая ситуация, когда для конкретного потребителя его потребительский отчет будет различен в каждом отдельном БКИ.
В результате, кредитные отчеты часто содержат неверную и отрицательную для потребителя информацию, которая может вылиться, к примеру, в более высокую процентную ставку или даже спровоцировать отказ в выдаче кредита. В обзоре U.S. Public Interest Research Group (PIRG) было опубликовано, что 25% отчетов содержат серьезные ошибки, ведущие к отказу в выдаче кредита, более 50% содержат опечатки и другую некорректную информацию, а более 20% содержат дубликаты сведений о выдаче ипотечного кредита или ссуды [19].
Рисунок 2: Подробная схема кредитной линии в потребительском отчете, включающая информацию о истории платежей
Согласно действующему законодательству, все компании, которые поставляют информацию о долгах и кредитах в БКИ, не обязаны предоставлять информацию своевременно, в строго определенном формате, целой и даже могут вообще не поставлять данную информацию [20].
Все что от них требуется это не предоставлять заведомо неточную информацию о потребителе, или информацию, которая с большой долей вероятности может быть неточной [21].
2.3. Запрос кредитной информации
Потребительский кредитный отчет содержит множество информации, включая прошлые выплаты по кредиту и суммарный долг. Отслеживая данную информацию, БКИ также следит и за количеством фирм, которые запрашивали выдачу отчета.
Эти запросы кредитной информации, также известные как справки, дают некоторое представление о поведении потребителя.
Когда БКИ получает запрос на предоставление копии кредитного отчета, то этот запрос помечается как справочный в кредитном досье, обрабатываемом только данным БКИ.
Спарвки делятся на 2 категории: подробные и краткие.
Подробные справки возникают, когда клиент запрашивает выдачу нового кредита от банка, выдачу кредитной карты или получение кредита от кредитной организации.
В частности, запрос считается подробным, если запрашиваемая у БКИ информация используется для принятия решения о выдаче кредита.
Кредиторы, владеющие копией кредитного отчета, могут просмотреть список других организаций, запрашивавших отчет по данному потребителю за последние 2 года.
Подробные справки внедрены в большинство схем оценки заемщиков, т.к. потребители, берущие дополнительный кредит считаются более рискованными, чем те, кто не берет дополнительных кредитов [22].
Несколько лет назад каждая справка рассматривалась как попытка потребителем получить дополнительный кредит.
Но поведение покупателей изменилось, и многие теперь просто консультируются с кредиторами, с целью найти лучший процент по кредиту.
С изменением поведения покупателей поменялась и модели оценки рисков, так множественные справки, сделанные в течение от 15 до 30 дней, считаются за одну [23].
Однако, многочисленные справки (с интервалом более чем 15-30 дней) служат серьезным индикатором рискованного поведения для кредиторов.
Потребители с некоторым количеством подробных запросов их кредитной истории в течение полугода рискуют получить отказ в выдаче нового кредита.
После истечения полугодового срока ущерб снижается, после 12 месяцев справки уже не рассматриваются совсем.
После двухлетнего срока старые справки совсем удаляются из кредитного отчета.
Краткая справка применяется в случае, если кредитор уже имеет деловые отношения с кредитуемым лицом.
Эти справки используются для управления счетами, в частности, для периодичных просмотров счетов кредиторами и не отображаются в кредитных отчетах.
Эти запросы используются не только для запроса на выдачу кредита, но и в качестве проверки работодателями и домовладельцами, а также самими потребителями.
Краткие справки не включены в схемы оценки кредитоспособности граждан.
Закон "О добросовестном предоставлении кредитной информации" был принят в 1970 году в ответ на сомнительные операции, выполняемые различными бюро кредитной историй в 1960-х годах [24].
Это был первый федеральный закон, регулирующий использование и предоставление персональной информации. Он был разработан для того, чтобы предоставлять частную информацию потребителей только организациям, имеющим на это законное право, для предотвращения неправильного использования сведений, а также устанавливал порядок, позволяющий убедиться в "максимальной возможной точности" кредитных отчётов [25].
До принятия этого закона частные лица не имели права просматривать содержимое своих кредитных досье или опротестовывать содержащиеся в них ошибки [26].
Закон обязывает все кредитные бюро предоставлять потребителю информацию из его кредитного досье, источники получения этой информации и список поступивших за последний год заявок, запрашивающих предоставление кредитного отчёта по данному потребителю [27].
Штат Вермонт первым выступил с законодательной инициативой, требующей от БКИ ежегодно предоставлять потребителям бесплатную копию собственных отчётов.
Остальные штаты вскоре поддержали эту инициативу и в 2003 году был принят закон "О добросовестных и достоверных кредитных операциях" (Fair and Accurate Credit Transactions Act, FACTA), обязавших БКИ предоставлять ежегодные бесплатные отчёты потребителям из всех штатов.
2.5. Заморозка кредитов
Заморозка кредитов - это финансовый инструмент, позволяющий потребителям заблокировать доступ к своим кредитным отчётам и запретить таким образом выдачу новых кредитов на своё имя.
Включив заморозку, потребитель может запретить выдачу собственного кредитного отчёта, после чего потенциальные кредиторы не смогут получить никакую информацию о нём.
Потребители, желающие законно обратиться за получением новой кредитной карты, могут использовать заранее установленный PIN-код или пароль либо для временного разблокирования своих отчётов, либо во многих случаях имеют возможность "разморозить" их для конкретного кредитора.
До 2003 года существовало всего несколько средств защиты от кражи личности, доступных потребителям.
Основным таким средством был бесплатный ежегодный кредитный отчёт, предоставление которого требовалось во многих штатах, а затем было закреплено и федеральным законом.
Самые беспокойные потребители могли также воспользоваться услугами коммерческих служб кредитного мониторинга, которые информировали бы их в случае появления в их отчёте нового счёта кредитной карты или ссуды.
Этот подход работал только по факту события - потребителям приходилось дожидаться пока кто-нибудь с помощью украденных данных откроет кредитную карту на их имя, чтобы получить об этом уведомление.
Первым штатом, жители которого получили упреждающую защиту от кражи персональных данных, стала Калифорния, обязавшая БКИ предоставлять всем жителям штата возможность "заморозить" свои кредитные отчёты.
Вскоре этому примеру последовало большинство остальных штатов, а в 2007 году три БКИ добровольно стали предоставлять возможность кредитной заморозки всем жителям США.
В зависимости от штата добавление, приостановка и снятие "заморозки" может быть как бесплатной услугой, так и стоить до 15$.
Потребители, желающие установить, временно снять или отменить заморозку должны обратиться в каждое из трёх БКИ.
Вне зависимости от того, какая стоимость услуг установлена законом штата, её придётся оплатить три раза. Так, потребитель, живущий в Калифорнии, должен обратиться в Experian, Equifax и Transunion с письменным заявлением о заморозке своего отчёта, и заплатить каждому БКИ.
Этот подход таит в себе значительный риск для потребителей, забывших обратиться в каждое из трёх БКИ.
Этот подход также коренным образом отличается от "нормы", к которой потребители могли привыкнуть, осуществляя другие операции с кредитными агентствами.
Например, жертва кражи личности может подать сигнал о мошенничестве с его кредитным отчётом, обратившись только в одно (любое) БКИ, которое по закону обязано поделиться этой информацией с двумя другими [28].
Аналогично, потребители могут запросить копию своего кредитного отчёта у всех трёх БКИ, заполнив единственную защищённую онлайн-форму по адресу http://annualcreditreport.com.
Требование о том, что для установки кредитной заморозки потребитель должен обратиться в каждое из трёх БКИ, неинтуитивно и создаёт ненужный барьер для людей, желающих защитить себя от кражи личности.
Отсутствие механизма одновременной единой кредитной заморозки во всех трёх бюро привело также к важным непредумышленным последствиям - появлению легко употребимой лазейки, через которую смышлённые потребители могут активно манипулировать и управлять информацией, сожержащейся в своих кредитных отчётах.
Этот изъян будет рассмотрен более подробно в разделе 4.3.
Рисунок 3: Щедрый вступительный бонус, предложенный по кредитной карте United Airlines
3. Как получить выгоду от кредитной системы
Основная цель этой статьи - рассмотреть подробно некоторые из наиболее интересных и потенциально опасных недостатков системы потребительского кредитования. Однако, перед тем как мы углубимся в подробности, мы должны получить представление о мотивах подтасовки этой информации. Иначе говоря, зачем потребителю, желающему добиться чего-либо, может потребоваться изменять информацию, содержащуюся в своём собственном кредитном отчёте или в отчёте другого человека?
Для мошенников ответ очевиден. Чем больше кредитных карт, которые были запрошены, выданы и опустошены при помощи украденной личной информации, тем больше их доход. Однако для законопослушных граждан эти мотивы не так очевидны.
В этом разделе описано несколько вариантов, позволяющих честному человеку получить небольшую прибыль, в основном с помощью рекламных (промоушен) предложений кредитных карт. В разделе 4 мы рассмотрим несколько методов многократного увеличения этой небольшой прибыли до сумм, которые могут шокировать читателя.
3.1. Бонусы регистрации
Первое и самое основное денежное вознаграждение кредитуемого заключается в регистрационных бонусах кредитной карты. Пытаясь выделить свой продукт на высококонкурентном рынке потребительских кредитных карт, многие банки предлагают потенциальным клиентам вознаграждения за открытие и использование новой кредитной карты. В большинстве случаев такой бонус представляет собой единовременную выплату, обычно в виде утверждённого кредита. Эти бонусы довольно просты и не требуют подробных объяснений. Чем больше потребитель запросит и получит таких карт, тем больше бонусов он может собрать. Начиная со 100-150$ за кредитную карту, эти вознаграждения могут вскоре подрасти.
Более сложный вид бонусов характерен для совместных кредитных карт - продуктов, где банк совместно с партнёром (например, авиакомпанией или отелем) начисляет бонусные мили или очки в качестве вознаграждения за расходы. Такие карты часто являются наиболее прибыльными для банка, так как приносят в некоторых случаях вдвое больший доход по сравнению с обычными банковскими картами. Это объясняется тем, что обладатели карт для часто летающих пассажиров как правило зарабатывают и тратят больше, чем среднестатистический держатель карты[29]. Для того, чтобы соблазнить таких выгодных клиентов обратиться за получением новой совместной карты, банки часто предлагают новым клиентам большое число бонусных миль или гостиничных баллов [30]. Обычно вознаграждение за открытие карты лежит в диапазоне 20000-30000 бонусных миль, которых часто хватает на бесплатный билет эконом-класса внутренних авиалиний или на половину бесплатного билета в Европу или Азию. Даже если потребитель не планирует тратить по карте десятки тысяч долларов, чтобы заслужить "бесплатный" билет (при цене бонусной мили в один доллар), заказав кредитную карту он может получить подарок в виде бонусных миль, достаточных для приобретения нескольких авиабилетов.
Рисунок 4: Некоторые кредитные карты предлагают клиентам денежные бонусы в первом выставленном счете, как награду за приобретение карты
Многие из этих бонусов, как прямые денежные вознаграждения, так и бонусные мили, можно получить повторно с помощью приёма, который финансовые хакеры прозвали "накруткой" [31]. Не все, но многие эмитенты позволяют клиенту открывать кредитную карту и получать бонусы за регистрацию несколько раз. Таким образом клиент, получивший одинаковые кредитные карты United Airlines дважды с перерывом в несколько месяцев, может заработать достаточно миль для получения бесплатного билета в Европу. Фактическое ограничение на количество бесплатных миль (и, таким образом, авиабилетов), которое может получить клиент, пользующийся "накруткой", целиком зависит от того, как часто клиент способен успешно открывать новые кредитные карты. Как будет показано в последующих разделах, этим можно легко манипулировать.
3.2 Трансфер баланса
Несмотря на то, что вступительные бонусы приносят кредитным хакерам некоторые финансовые вознаграждения, реальный выигрыш идет по более сложной схеме - трансферы баланса.
Многие компании, выпускающие кредитные карты, предлагают новым клиентам осуществить трансфер баланса. Эта операция позволяет клиенту погасить имеющиеся кредиты, например, по другим кредитным картам, банкам или заёмщикам. Чтобы заинтересовать клиентов перевести все свои долги к ним, а также для привлечения клиентов, не мотивированных вступительными бонусами, многие фирмы предлагают весьма низкий "дразнящий" процент для трансфера баланса, зачастую в размере 0 процентов на срок от двенадцати до восемнадцати месяцев.
Человек, обратившийся за открытием кредитной карты, в банк, который предлагает трансфера баланса, может погасить все свои другие долги, перенести долг на нового кредитора, а затем не платить проценты по задолженности в течение одного года. Все что от него требуется - это совершать минимальный платеж (зачастую всего лишь один процент от общей суммы задолженности) каждый месяц.
Рисунок 5: Многие кредитные карты предлагают клиентам привлекательные, низкие ставки для трансфера баланса
Банки не являются благотворительными организациями - таким образом, не смотря на то что рекламные возможности трансфера баланса привлекательны, потребители, которые воспользуются ими, рискуют столкнуться с определенным количеством аккуратно расставленных ловушек и подводных камней. Ошибка, сделанная ничего не подозревающим потребителем, может спровоцировать множество комиссионных платежей и повышений процентных ставок, с помощью которых кредитор надеется вернуть обратно деньги, которые он потерял, предлагая низкие процентные ставки. Например, если клиент забудет оплатить вовремя ежемесячный минимальный платеж по карточке, банк может сразу поднять процент от 0 до более прибыльных 20 или 30 процентов. Кроме того, в связи с завуалированным правилом известным как "универсальный дефолт", многие банки поднимут процентную ставку клиента если он опоздает с оплатой по другой карте из другого банка [32]. Таким образом, клиент может исправно платить ежемесячный платеж в Citibank вовремя, но если он своевременно не заплатит в Chase, эта информация будет сообщена всем другими кредиторам, которые имеют право по контракту немедленно поднять процентные ставки.
Наконец, в то время как банки охотно предлагают трансфер баланса на целый год, они не уведомляют своих клиентов по истечении даты их рекламных ставок. Таким образом, клиент, который просто читает и платит каждый счет по кредитной карте по его приходу, обнаруживает, что на 13-м месяце он вдруг должен сотни долларов в качестве банковского процента.
Как показывают эти примеры, дразнящие ставки по трансферу баланса часто идут с большим количеством потенциальных рисков. Человек со смекалкой, который может аккуратно управлять своими финансами, может сэкономить значительные суммы денег путем использования рекламных ставки с 0 процентов, в то время как у менее внимательных потребителей намного больше шансов наткнуться на одну из многих банковских ловушек.
3.2.1. Спекуляции с трансфером баланса
Предлагая дразнящие ставки по трансферу баланса, банки пытаются привлечь людей, которые уже должны деньги. Тем не менее, хакеры без кредитной задолженности нашли способ использования таких акций для получения реальной прибыли.
Вместо использования предложений по трансферу баланса для рефинансирования существующих долгов, эти лица берут деньги у кредитных компаний и вкладывают их. То есть, вместо погашения существующей задолженности, кредитные хакеры берут в займы большие суммы денег под 0 процентов и вкладывают их в высокодоходные сберегательные счета и депозитные сертификаты. Через год они платят назад общую сумму задолженности, и оставляют проценты в качестве прибыли.
Трансфер баланса на 30000 долларов (сумма которую кто-либо может получить имея хорошую кредитную историю) может принести 1500 долларов годовой прибыли, если будет положена на накопительный счет под 5% годовых. Эти базовые формы спекуляции кредитами кратко изложены в СМИ и даже литературе по экономике. Но, насколько известно, никто ещё не описывал подробно данные техники, ни тем более интерестные и удачные аспекты не были задокументированы. Как данный текст покажет в следующих частях, большая прибыль может быть получена когда человек может открыть 20 или 30 кредитных карточек, вместо одной или двух.
3.2.2 Привлечение средств.
Несмотря на то, что процесс подачи заявок на получение кредитной карты и последующего трансфера баланса являеютса достаточно простыми, процесс получиния денег по этой кредитной линии может быть несколько сложнее. Многие консервативные банки нехотят выдавать чек на 20.000 долларов который оформляетса на клиента. Лица, желающие инвестировать средства, заимствованные из этих банков должны сначала снять их с помощью более либеральных учреждений.
Некоторые банки отправят клиенту чек на сумму полного трансфера баланса, или переведут баланс под 0 процентов прямо на банковский счет. Другие, менее рисковые кредиторы разрешат только передачу средств для погашения существующей задолженности перед другими финансовыми учреждениями. Был обнаружен ряд методов, некоторые из которых представлены здесь, которые могут быть использованы отдельными лицами для перемещения средств из трансфера баланса от более ограниченных кредиторов на свои банковские счета [34].
Существующие карты. В то время как некоторые банки предлагают клиентам один трансфер баланса под 0 процентов, другие предлагают бесконечный трансфер баланса, до тех пор, пока общая сумма взятых денег меньше максимальной кредитной линии клиента. Если клиент имеет возможность получить трансфер баланса от одной такой фирмы, которая предлагает как неоднократные трансферы под 0 процентов, а также прямые выплаты отдельным чеком или прямым депозитом, что счет может быть использован для снятия средств. Например, клиент может взять максимальное количество средств с такой кредитной карты (Банк А), а затем взять несколько меньшую сумму средств с более ограничивающей карты (банк Б), в котором требуется перевести средства для оплаты клиентской задолженности в Банке А. После того, как эти средства возвращены, клиент может повторно перевести недавно выплаченный долг в банке А на свой банковский счет и начать процесс заново.
Выплата положительного баланса кредитной карточки. В другом случае, клиент может иметь финансовые отношения с учреждением, которое не желает расширять трансфер баланса, но готово отправить клиенту чек по почте, когда на счете будет положительный баланс. Примером этого может быть случай, когда клиент случайно оплачивает дважды, или, если он покупает дорогую вещь и платит кредитной картой, а потом возвращает эту покупку в магазин с полным возвратом средств.
В этом случае клиент запрашивает трансфер для погашения несуществующей задолженности на существующую учетную запись, в банк, принимающий переплату. Трансфер приведет к значительному положительному балансу (в несколько тысяч долларов), при котором клиент может запросить у банка выплату с помощью чека.
Этот метод является довольно рискованным, как отмечали многие люди, некоторые фирмы могут рассматривать эту активность в качестве признаков отмывания денег [35]. Этот метод может привести к заморозке денежных средств, или возврату выданного трансфера, из-за простого факта, что большинство кредитных карт не считают нормальным положительный баланс в десять или двадцать тысяч долларов. Даже если это не приводит к заморозке средств, но эта активность безусловно привлечет внимание к личности, и поэтому обычно об этом предупреждают те, кто был научен в арбитраже по переводам денежных средств.
Позитивные платежи на АТМ карточки. В то время как компании выпускающие кредитные карты не привыкли видеть позитивный баланс по счетам, но банки привыкли видеть его на текущих счетах. Кроме того, в последние несколько лет, большинство банков выпустили дебетовые карты Visa / MasterCard, которые дают клиентам возможность делать покупки со своих текущих счетов через существующие сети кредитных карт. Как результат, в настоящее время у большинства людей к текущему счету выпущены дебетовые карты связанне с системой VISA или Mastercard.
Некоторые кредитные хакеры выяснили, что они могут запросить многие финансовые учреждения выдать чеки на их личный банк, указав номер их АТМ дебетовой карты, как номер счета. Этот метод основывается на том факте, что финансовые учреждения не могут легко различать кредитную и дебетовую карты только по номеру счета. Во многих случаях такая операция приведет к вкладу средств трансфера баланса непосредственно на текущий счет клиента. Этот метод с гораздо меньшей вероятностью проявится как сигнал мошенничества, чем предыдущий, так как текущие счета, в отличие от кредитных карт, призваны нести позитивный баланс в несколько тысяч долларов.
4. Кредитные уязвимости и злоупотребления
Как уже говорилось в предыдущем разделе, используя бонусы регистрации на кредитные карты и спекуляции с трансфером баланса, можно заработать некоторую прибыль посредством кредитных карт. Однако из-за консервативного поведения банков, которые отказываются выдавать кредитные карты клиентам, которые в последнее время зарегистрировали горсть карточек, количество новых карт (и, таким образом, общая прибыль), которые могут быть получены, довольно ограничено.
В этом разделе будет представлен ряд злоупотреблений, которые были обнаружены, и использованы сотнями подкованных финансовых хакеров, чтобы подать заявку и быть утвержденными на большое число кредитных карт и, таким образом, значительно более высокую прибыль.
Первое финансовое злоупотребление позволяет человеку подавать заявку и быть утвержденным на гораздо большее число кредитных карточек, чем при нормальных обстоятельствах. Современные техники позволяют человеку быстро "очистить" свой кредитный отчет так, что он может начать еще один раунд успешных кредитных заявок без необходимости ждать несколько месяцев или даже лет, что было бы в ином случае, и восстановить от ранее нанесенного ущерба.
4.1. Злоупотребления предоставлением кредита / брешь в ситеме отчетности
Как было рассмотрено в разделе 2.3, при нормальных условиях невозможно открыть больше, чем пару новых кредитных линий в течении шести месяцев. Каждая подача заявки на кредитную карту приводит к появлению новой жесткой проверки в кредитной истории. После того, как в кредитной истории появляются больше чем пара отрицательных запросов, большинство кредиторов откажутся предоставить новый кредит. Однако, как обнаружили кредитные хакеры, если тщательно спланировать по срокам подачу заявок, это ограничение можно обойти.
Корень проблемы заключается в том, что появление новой записи в кредитной истории зачастую может занять несколько дней. Если потребитель подает большое количество заявок на открытие кредитной карты в течение короткого периода времени (часы, а не дни), очень часто бывает, что заявка бывает утверждена раньше чем первая запись появится в кредитной истории. Таким образом, потребитель может обратиться за десятью или двадцатью новыми кредитными картами, при этом кредиторы не знают друг о друге [36].
После открытия нового счёта кредитные учреждения обычно предоставляют информацию каждому из трёх БКИ в течении 30-60 дней и затем переодически обновляют её. Таким образом, если кредитодатель решит через некоторое время запросить кредитную историю такого клиента, он вероятно заметит кучу новых счетов. Однако если клиент просит large balance transfer сразу после одобрения нового счёта, такая информация придёт слишком поздно.
Похожая уязвимость была описана для ипотечного кредитования [37]. В тех случаях преступники подавали заявки, получали одобрение и получали средства от нескольких банков на одну и ту же недвижимость. Такой способ мошенничесива основан на том, что множественные приверки в течение небольшого периода (15-30 дней) часто засчитываются как одна for the purposes of damage to a credit score.
This vulnerability can be accurately described as a race condition, a problem that is very well understood in the computer security community. Essentially, two or more actors are attempting to access the same bit of critical information, without any ability to synchronize their requests. The literature contains numerous examples of cunning attacks that take advantage of such a situation.
Due to the fact that all of the banks rely upon this single, slowly updated piece of information, financial hackers have been able to apply and be approved for many more cards and far higher credit lines than they would otherwise have been able to legitimately obtain under normal circumstances.
4.1.1. Outline of an attack
For illustrative purposes, we will now describe a hypothetical scenario in which a consumer makes use of the credit reporting gap in order to apply for a large number of credit cards, and later use these to perform balance transfer arbitrage.
An individual will first obtain a copy of her own credit report, from all three CRAs. This can be done via directly via the CRAs once a year for free, but will more likely be performed through a commercial service that offers daily updates and automated alerts for credit activity.
She will verify that her reports do not list any missed payments, accounts in poor standing or any existing debts. Furthermore, she will also verify that none of the reports list a hard inquiry by a creditor in the preceding six months. Finally, she will make sure that her reports do not list any accounts that list an opening date within the previous six to twelve months. If she finds anything on her report that is problematic, she will need to go through the process of cleaning it up (outlined later in the paper). For now, we assume that her report is clean.
The individual will then prepare a hit list of Web sites to online credit applications and telephone numbers for agent–assisted applications — she will likely focus her efforts on cards that offer sign–up bonuses and no–fee 0 percent balance transfers. Such Web site addresses and offer codes can be found on several finance forum Web sites, often by other users who have followed the same process and documented their efforts.
Before going through with the process, she will prune her list to make sure that she does not apply to more than one or two cards per issuing institution, since such same–bank applications are easily detectable, even with the delay in inquiry reporting.
With the hit list at the ready, she will systematically apply to each credit card on her list. Within the next few weeks, accepted cards will begin to arrive in the mail, and along with them, several large 0 percent balance transfer checks [38].
4.2. Why user–generated and trusted data should not be mixed
Recall that in section 2.3 we explained the difference between the two forms of credit report inquiry, which we categorized as either hard or soft. Remember that while hard inquiries are accessible to anyone who requests that person’s credit file, soft requests are not. This latter category of inquiries, while listed on the report, are only shown to the consumer, and never to potential creditors. Also remember that each time a consumer requests a copy of her own credit report from one of the three CRAs, a soft inquiry is generated with that particular CRA. This form of inquiry is of course harmless.
Furthermore, as we explained in section 2.4, CRAs are legally required to provide consumers who ask with one free report per year. However, all three CRAs provide more frequent access to consumers via fee–based services. By paying for one of many third party services, a consumer can request her own credit report and score from each of the three CRAs, often as frequently as once per day. An individual using one of these services thus generates one new soft inquiry on her own report, for each of the three CRAs, every day.
Through experimentation, credit hackers have discovered that two of the CRAs — Transunion and Equifax — store both soft and hard inquiries in a single, first–in first–out (FIFO) style database of limited length. Each time a new inquiry is reported to one of these two CRAs, an entry is appended to the end of the shared inquiry database. Once this database fills up, the oldest credit inquiry is discarded.
While the inquiry databases were designed to hold more inquiries than could ever reasonably be generated through legitimate business requests, they were not designed to cope with new daily soft inquiries generated by the consumer.
Thus, by requesting their own credit report each day for several months, a large group of credit hackers have been able to systematically scrub their own credit reports of negative hard inquiries, simply by filling the CRA’s databases with consumer–generated soft inquirie [39]. Reports on the size of the databases vary, but it seems to take between two to four months of daily soft inquiries to completely erase all of the older negative inquiries.
In 2007, a number of individuals started to report that Transunion and some of the third–party credit report monitoring companies were taking action. Individuals were blacklisted from the commercial monitoring companies, for “access patterns which indicate potential fraud or a deliberate intent to tamper with the credit scoring system” [40]. Later in 2008, some credit hackers reported that Transunion appeared to be conducting audits, discovering the old “bumped” credit inquiries, and manually adding them back to consumers’ reports [41]. However, large numbers of individuals have since reported that they are still able to re–bump these newly restored inquiries from their reports, using the same FIFO database overflow techniques as before. Until Transunion deploys a comprehensive fix to the problem (such as by segregating the soft and hard inquiries into different databases), this game of cat and mouse will likely continue.
There are no reports indicating that Equifax has taken any steps to stop the abuse of this flaw, and many users continue to report success at bumping inquiries from their Equifax credit file [42].
When we consider the ease of removing inquiries from certain CRAs, it becomes clear that some credit card applications are “cheaper” than others. A bank which will request a consumer’s credit report from either Transunion or Equifax is far more attractive to the seasoned credit hacker than one which requests a report from Experian, simply due to the fact that this latter form of inquiry will be almost impossible to remove. It is this significant cost associated with an Experian inquiry that motivates the next exploit.
4.3. Selective credit freezes
There are often situations in which a consumer may wish to control which CRA a potential lender contacts for their credit report. As an example, Experian credit inquiries are far more burdensome for individuals, due to the fact that they cannot be easily removed. Likewise, it is quite possible for one CRA to list negative information not held by the other two CRAs, perhaps because the consumer was able to effectively dispute it with them.
Credit hackers have discovered that it is possible to completely deny potential creditors the ability to view or add items to files maintained by any one CRA. This technique makes use of the free credit reports offered by the CRAs to consumers and the fact that individuals can selectively freeze individual CRAs, rather than only being able to place a single, simultaneous freeze across all three CRAs.
When a potential creditor encounters a problem while attempting to access an individual’s credit report, the creditor can either fail open, or fail closed [43]. If the first CRA the creditor contacts reports that the consumer’s report is locked, the creditor can either request the consumer’s report from an alternate CRA, or refuse the individual’s credit request until they contact the CRA to unlock their report. The former approach can be thought of as failing open (protecting the ability of the lender to continue making loans), while the latter approach can be thought of failing closed (protecting the lender from potentially bad customers).
Financial hackers report varied amounts of success with this technique, and the approach seems to differ significantly by lender [44]. However, it does appear that many banks permit their staff to use a credit report from an alternate CRA in the event that a frozen report is encountered.
While this technique has primarily been used to avoid the creation of new inquiries on Experian reports [45], it has alternate uses. If a consumer finds that one particular CRA seems to have received an inordinate percentage of the credit inquiries from a recent round of credit card applications, she may opt to freeze her file in order to prevent future potential lenders from accessing the damaging information which the CRA would otherwise reveal.
This technique is extremely flexible, and comes with almost zero risk. For example, if a consumer freezes two of her reports, and the bank refuses to contact the third CRA, there will be no paper trail left of the failed application. This is because a potential lender cannot submit new inquiries to a frozen report.
4.4. Small business lines of credit
In addition to the consumer CRAs, there also exists an entirely different system for tracking the financial reputation of businesses. That is, when a corporation seeks a new credit line, the banks do not request a copy of the CEO’s personal credit report, but instead turn to one of the four main CRAs that track the past spending and payment history of America’s businesses [46].
In recent years, as the consumer credit market has become saturated with competition, credit card companies have increasingly turned their sights to the self–employed and other small business owners [47]. For lenders targeting these potential customers, whose businesses are too small or too new to have generated histories with the business CRAs, another approach is followed: Personally guaranteed business cards.
Credit card companies now routinely offer business credit cards to the self–employed and other owners of small businesses, but require that they take personal responsibility for the debt. That is, if a corporation goes bankrupt, the structure of the company protects the personal wealth of the CEO and other executives. If a small business owner goes bankrupt, and she has personally guaranteed his business credit card, the bank can attempt to take her home.
When a consumer applies for a small–business credit card, their personal credit report is obtained from one of the consumer CRAs, as well as their business credit report. However, other than the initial hard inquiry, no other information will be communicated to the consumer CRAs. The spending and payment history will only be reported to the business CRAs.
Everyone can in theory be self–employed, even if their side job only brings them a few hundred dollars of income per year. Perhaps the individual sells items on eBay, takes care of lawns, gives massages, or cuts hair. In all these cases, as long as the individual’s consumer credit history is good, many banks are likely to offer them a personally guaranteed small business credit card.
Competition for consumers is equally cut–throat in the small business credit card market, and so banks have to offer the same bonuses and promotional deals that have become the norm for consumer credit cards. Sign–up bonuses and 0 percent no–fee balance transfers for small–business cards are thus extremely common.
As a result, many financial hackers have discovered that they can radically improve their own personal credit rating by transferring existing large debts to small business credit cards. While they will still owe the money, the debt will have shifted, thus hiding the large balances from lenders who request an individual’s consumer credit report. Since lenders place a significant amount of weight on the amount of debt the consumer is currently carrying, individuals have a lot to gain by hiding this debt through small business credit card balance transfers. A few of these transfers can make the difference between a new mortgage, or a rejected application.
While most of the techniques outlined in this paper are largely used by people with stellar credit, there are many other techniques in use by individuals who wish to repair negative information from their own reports. One of the most interesting of these is a practice dubbed “piggybacking.”
As we explained earlier in this paper, when an individual applies for a credit card, the potential lender will request her credit report in order to determine her creditworthiness. If the account application is approved, the account holder is then given the opportunity to add additional “authorized” persons to the account. The credit card company will typically allow these other individuals to be added to the account without first checking their creditworthiness. While these authorized account holders each receive a credit card with their name on it, the bill is usually sent to the primary account holder. Furthermore, the responsibility for payment also lies with the primary account holder. As a result, this type of account requires a significant amount of trust, and is thus primarily used by family members and small business employees.
These authorized accounts enable individuals with poor or non–existent credit histories to gain access to credit that would otherwise be unavailable. Once these authorized accounts have been opened, payment and other account records are transmitted to the CRAs, who then add this positive information to the credit files of those individuals.
In 2006, a number media sources began to report on a profit–motivated form of authorized account creation. Individuals with poor credit were paying middlemen, who would then get individuals with good credit to add the paying customers to their accounts as authorized users. The primary account holders used their own address for the new authorized accounts, which prevented the paying individuals from receiving their new cards and thus running up debt. By using this process, an individual with extremely poor credit could add several positive credit lines to his or her own credit report. Media reports indicated that the middlemen were charging between US$1,000 and US$3,000 for each new authorized account [48].
While industry executives initially reacted to the media reports with pledges to defeat the piggybacking issue by changing the methods for calculating credit scores, they later backpedaled. In testimony before the U.S. House Committee on Financial Services in 2008, an executive from Fair Isaac acknowledged the piggybacking issue and stated that the company had “decided to include consideration of authorized user tradelines” in its latest credit scoring algorithm [49].
The company has since stated that its latest credit score algorithm enables “legitimate authorized users [to] improve their credit scores — although perhaps to a lesser extent than prior [scoring] versions would — but [also protects] lenders from people who [are] trying to game the scoring mechanism.” [50]
4.6. Personal profit and the potential for severe abuse
By using the techniques outlined in this paper, many credit hackers have been able to earn tens of thousands of dollars through credit card sign–up bonuses and interest from balance transfer arbitrage. Except in the cases where mistakes were made, these individual’s credit reports showed no long term damage, and in some cases actually improved due to the documented borrowing and full, timely payment of hundreds of thousands of dollars. At the end of the loan period, the banks got their money back, and the financial hackers got to keep their profits. Online forums are filled with testimonials of balance transfer arbitrage, and reports of several hundred thousand dollars in total balance transfers are very common [51].
While the techniques enabling these gains are rather straightforward, it is unlikely that someone would come across them by accident. These loopholes have been documented through the careful observation and testing by an active community of credit hackers, many of whom have a deep and thorough understanding of the way that the system works. The knowledge of these techniques is concentrated in several Internet discussion groups.
These techniques can accurately be described as “dual use” — that is, they can be used by credit hackers to earn a modest, yet legitimate profit. They can also be used in a more blunt fashion by lawbreakers to massively increase the ill–gotten profits of identity theft [52]. If a criminal uses some of these techniques to borrow hundreds of thousands of dollars per stolen identity, and then withdraws the funds (instead of investing them in a savings account), she can very easily make off with millions of dollars. This form of identity theft requires a minimal amount of work, and by the time that the credit card companies start to notice that the monthly bills are unpaid, the thief is long gone.
We are mindful that in documenting and exposing these techniques to a wider audience, there is a significant chance that identity thieves and other criminals will adopt them. However, it is also rather naïve to assume that these techniques would stay unknown to criminals forever. The solution to these vulnerabilities is not security through obscurity, but rather the deployment of comprehensive fixes to the flaws within the financial system [53]. It is for this reason that we propose a number of fixes, which if deployed by the CRAs and banks, would significantly neutralize the techniques presented in this paper [54].
5. Suggested fixes
Of all the loopholes and flaws presented in this paper, it is the simultaneous application of credit card applications which has the biggest potential for abuse by identity thieves. While the other loopholes are certainly real, the impact to the financial system of their large–scale abuse is far lower. It is for this reason that the CRAs and banks will be unlikely to focus much, if any, effort on fixing most of these other flaws. The banks have far more to lose through the large–scale adoption of simultaneous credit card application techniques than they do of individuals sneakily removing valid credit inquiries from their own reports.
5.1. Simultaneous applications
The ability for individuals to apply and be approved for 20 or 30 credit cards, and then convert these credit lines into hundreds of thousands of dollars in cash is certainly a significant problem for the credit card industry. If the banks knew about a financial hacker’s 20 or 30 other simultaneous applications, it is highly unlikely that they would approve those new accounts, let alone balance transfers of 30,000 dollars per card. While there is little evidence to suggest that these techniques have yet been used by identity thieves and other financial criminals, there is no reason they could not in the future. Certainly, the potential for abuse is real.
The root cause of this vulnerability is of course the delay between the moment when a business accesses a consumer’s credit information, and the later insertion of a credit inquiry onto her report. Because these new inquiries are not immediately reflected on the consumer’s report, credit hackers can simultaneously apply for multiple accounts, secure in the knowledge that each lender is blind to the inquiries associated with the requests made by the other creditors.
The naïve solution o this problem is thus, of course, for the CRAs to update their systems so that credit inquiries immediately appear on a consumer’s report. However, if this solution were as easy as it sounds, it is likely that the CRAs would have deployed such a fix a long time ago. Assuming that constraints within the existing system prohibit the deployment of real–time updates to the inquiries on a consumer’s reports, another solution is warranted.
In order to solve this problem, we propose that lenders institute a delay in the credit approval process for their products. These firms will, as they currently do, request a copy of a consumer’s report from one of the CRAs while in the process of approving that person’s application. However, even after the credit line is approved, the bank will lock the new account pending a second, later approval. In the days that follow the initial application, the bank will request a second copy of the consumer’s credit report (since the consumer will now be a customer, and the report is not being used to evaluate her, this should count as a soft, non–harmful inquiry). The bank’s credit approval department will look for their own recent hard inquiry, and confirm that at least three business days have passed since the date it is listed as appearing on the consumer’s report. The auditors will also look for any other new hard inquiries associated with requests by other lenders. If no (or few) new inquiries are listed on the consumer’s report, the account will be unlocked. If, on the other hand, the consumer has submitted a flood of simultaneous applications, these should show up on the second, precautionary audit. In such a situation, the approval of credit will be reversed, and the consumer notified.
This second, delayed verification of a consumer’s credit report can be thought of as a speed bump in the credit approval process. By waiting a few days after the initial application, the bank auditors can be sure that they get access to a more full and accurate snapshot of the consumer’s credit file.
While this second audit will of course add further delays to the approval of credit, we do not believe that this will place a significant burden on most lenders. In most cases, consumers must already wait a week or more between the successful approval of their credit application, and the receipt of the new credit card by U.S. mail. Many credit card companies also require that consumers activate the new card by phone once it arrives. This is an ideal time to request an updated copy of the consumer’s credit report in order to look for other simultaneous inquiries.
Such a solution will, of course, significantly disrupt the “miracle of instant credit” — and so, perhaps lenders operating in the instant retail credit market will be unable to defend themselves from the threat of simultaneous account applications. Thus, while this might not be well suited to car dealerships or electronic stores offering loans on big screen TVs, we feel that it would work quite well for most credit card companies. Furthermore, since credit–at–purchase situations involve in–person loans for physical goods, rather at–home applications leading to highly liquid funds, we do not believe that they are as nearly as vulnerable to the threats outlined in this paper. While it is possible for an identity thief to apply for 30 credit cards in an afternoon, we do not believe it is possible to purchase and drive off in 30 vehicles in that same amount of time.
5.2. The inquiry database problem
As we explained in section 4.2, two of the CRAs have created a situation with the significant potential for abuse through the use of a single shared database for both hard and soft credit inquiries. As we noted in that section, Transunion appears to have responded to the efforts of the credit hackers by reinserting old inquiries onto the reports of consumers months after they had been “bumped” off. Many individuals still report limited success in this area, or at least report being able to re–bump those restored inquiries by again flooding the buffer with soft inquiries. A more comprehensive fix would appear to be required.
A simple solution to this problem exists, one which likely has already been deployed by Equifax, the single CRA that has not been vulnerable to these data overwriting attacks. Simply put, both Experian and Transunion should start to keep credit inquiries in two, separate databases, one for hard inquiries, and one for soft. Consumers who requested their own report once per day would thus be able to force the removal of soft inquiries (which are only retained for their own records, and are never displayed to lenders), but would no longer be able to force the removal of hard inquiries.
5.3. Towards better credit freezes
The problem of credit freezes is a tricky one. When a consumer applies for a credit card, the lender typically only consults a single CRA, and thus, that application will result in a single inquiry added to the consumer’s credit file. After a few applications, it is quite common that the reports maintained by one or two CRAs will list all of the recent inquiries, while the third CRA’s report will show no signs of recent damage.
The ability for consumers to focus the inquiry–related damage caused by their application sprees to particular CRAs is one that is directly a result of the CRAs’ refusal to allow universal, one–stop credit freezes. By requiring that consumers contact (and pay) each of the three CRAs to freeze or unfreeze a report, the CRAs have created this vulnerability. Two solutions to this problem exist: A single point of contact for initiating and removing credit freezes (such as the annualcreditreport.com Web site that exists for consumer access to credit reports) or a commitment by the CRAs to communicate freeze initiation and removal among themselves, as they currently do when a consumer places a fraud alert on her file.
Some consumer advocates might argue that this ability for individuals to selectively block individual CRA reports is a feature, not a bug. They would likely also argue that removing this feature might have a negative effect on consumers. That policy discussion is beyond the scope of this paper.
We have presented a number of abusable flaws in the U.S. system for consumer credit. As we have described at length, a large community of credit hackers have successfully used these techniques to borrow and profit from the arbitrage of hundreds of thousands of dollars per individual. While these flaws have been primarily abused by individuals using their own credit reports, these techniques could equally be used by criminals masquerading as others, making identity theft an even more crippling threat to the financial industry.
By analyzing these financial process flaws using the techniques and methods commonly used in the computer security community, we have been able to identify the root causes and propose comprehensive fixes. In order to protect against the huge amount of fraud that could be performed by identity thieves should they use these exploits, we strongly urge credit reporting agencies to adopt the fixes we have presented in this paper.
While there is already an established body of research performed by those applying the tools of economics to the field of computer security, we believe that we are among the first to apply computer security methods to the field of economics and commerce. It is quite likely that other interesting and useful research will emerge by looking into other business process flaws. We leave the exploration of these as an exercise for the reader. End of article
Christopher Soghoian (www.dubfire.net) is a Ph.D. Candidate in the School of Informatics and Computing at Indiana University and is currently a student fellow at the Berkman Center for Internet & Society. His research is focused at the intersection of applied computer security and privacy, technology law and policy. His research and activism has resulted in the successful passage of an amendment to Indiana’s data breach laws, a Congressional investigation of Web security flaws at the Transportation Security Administration, as well as several media firestorms.
This work was in part funded by Indiana University’s Center for Applied Security Research and a fellowship from the Institute for Humane Studies. This opinions expressed in this are the author’s, and do not reflect those of the Berkman Center, Harvard University, Indiana University, Institute for Humane Studies, or any other organization.
Thanks to Alessandro Acquisti, Michael Conover, Benjamin Edelman, Chris Hoofnagle, Robert M. Hunt, Markus Jakobsson, and Adam Shostack for their helpful comments on early drafts. Thanks also to Arjun Mehra and Phil Malone at the Berkman Center Cyberlaw Clinic for their pro bono legal advice relating to the research presented in this paper.
The techniques outlined in this paper are for the most part rather simple. However, as always, the devil is in the details. While it is certainly possible to make thousands of dollars by using these techniques, it is also quite easy to do lasting damage to one’s own credit report if mistakes are made.
In many ways, identity thieves are far better situated to make use of these techniques and loopholes. These fraudsters can experiment and fine–tune their knowledge and abuse of the loopholes using the credit reports of tens or hundreds of stolen identities. That is, through a process of trial and error, criminals can more effectively reverse engineer the credit reporting system (which is effectively a black box). If a mistake is made, they can discard that identity and move on. Law abiding individuals have only their own credit report with which to experiment, thus making potential mistakes extremely costly.
Given the very real risk of damaging one’s own credit file, we strongly advise readers of this paper against attempting to use any of the exploits outlined in this paper without first performing significant amounts of independent research. This paper is not intended to be used as a how–to guide, and anyone who uses it as such is likely to run into problems. Finally, while we believe that the techniques outlined in this paper are legal, we are not lawyers, and nothing in this paper should be interpreted as legal advice. Anyone considering making use of these techniques should first consult legal counsel.
1. John M. Barron and Michael Staten, 2002. “The value of comprehensive credit reports: Lessons from the U.S. experience,” In: Margaret Miller (editor). Credit reporting systems and the international economy. Cambridge, Mass.: MIT Press, pp. 272–310.
2. This has been referred to as the “miracle of instant credit” by a former chairman of the Federal Trade Commission; see Jane Black, 2002. “How the FTC is policing privacy,” Business Week (5 June), at http://www.businessweek.com/technology/content/jun2002/tc2002065_9287.htm. This “miracle” has also been accompanied by the miracle of instant identity theft, in which a criminal purchases a high value item in a victim’s name, and is long gone by the time the fraud is detected; see Chris Jay Hoofnagle, 2008. “Putting identity theft on ice: Freezing credit reports to prevent lending to impostors,” In: Anupam Chandler, Lauren Gelman, and Margaret Jane Radin (editors). Securing privacy in the Internet age. Stanford, Calif.: Stanford University Press, pp. 207–220.
3. There are actually many more CRAs. However, for most consumers it is the three primary CRAs that are most relevant.
4. This practice is commonly described in the industry as “furnishing.”
5. Daniel B. Klein, 2001. “Credit–information reporting,” Independent Review, volume 5, number 3 (Winter), pp. 325–344.
6. Paul Resnick, Ko Kuwabara, Richard Zeckhauser, and Eric Friedman, 2000. “Reputation systems,” Communications of the ACM, volume 43, number 12, pp. 45–48.
7. Kevin Hoffman, David Zage, and Cristina Nita–Rotaru, 2009. “A survey of attack and defense techniques for reputation systems,” ACM Computing Surveys, volume 41, number 4 (December); earlier version at https://www.cerias.purdue.edu/apps/reports_and_papers/view/3319.
8. We use this term — or variants on it — to describe those savvy individuals who have documented and exploited the loopholes explored in this paper. The use of the word “hacker” should in no way be interpreted to imply any form of improper or illegal entry into a computer system.
9. Kevin D. Mitnick and William L. Simon, 2003. The art of deception: Controlling the human element of security. New York: Wiley.
10. J. Kempf, C. Castelluccia, P. Mutaf, N. Nakajima, Y. Ohba, R. Ramjee, Y. Saifullah, B. Sarikaya, and X. Xu, 2001. “Requirements and functional architecture for an IP host alerting protocol” (August), at http://tools.ietf.org/html/rfc3154#section–3.2.
11. We are not the first researchers to document the exploits of others by monitoring postings to these and similar forums; see Noriko Hara, Pnina Shachaf, Thomas Haigh, Thomas P. Mackey, Robert J. Sandusky, and Elisabeth Davenport, 2007. “Knowledge sharing in online communities of practice: Digital trends,” Proceedings of the American Society for Information Science and Technology, volume 43, number 1, pp. 1–10; and, Ram D. Gopal, Bhavik Pathak, Arvind K. Tripathi, and Fang Yin, 2006. “From Fatwallet to eBay: An investigation of online deal–forums and sales promotions,” Journal Of Retailing, volume 82, number 2, pp. 155–164.
12. John M. Barron and Michael Staten, 2002. “The value of comprehensive credit reports: Lessons from the U.S. experience,” In: Margaret Miller (editor). Credit reporting systems and the international economy. Cambridge, Mass.: MIT Press, pp. 272–310.
13. Innovis Data Solutions is often described as the fourth consumer CRA. This company does not sell consumer credit history information to lenders and is solely focused on compiling and selling mailing lists for pre–approved credit offers. We ignore Innovis in this paper, as consumers have little to gain by manipulating the information maintained by the company.
14. Robert M. Hunt, 2005. “A century of consumer credit reporting in America,” Working Paper, number 05–13. Philadelphia: Federal Reserve Bank of Philadelphia, at http://www.philadelphiafed.org/research-and-data/publications/working-papers/2005/wp05-13.pdf.
15. In fact, the CRAs enforce a “give–to–get” policy with the financial institutions — that is, lenders cannot get credit report information about a potential customer with whom they wish to do business unless that lender provides information to the CRA about customers with whom it already does business; see Mark Furletti, 2002. “An overview and history of credit reporting,” Payment Cards Center, discussion paper 02–07. Philadelphia: Federal Reserve Bank of Philadelphia, at http://www.philadelphiafed.org/payment-cards-center/publications/discussion-papers/2002/CreditReportingHistory_062002.pdf.
16. Alison Cassady and Edmund Mierzwinski, 2004. “Mistakes do happen: A look At errors in consumer credit reports,” Report, National Association of State PIRGs (June), at http://www.uspirg.org/uploads/BE/ev/BEevuv19a3KzsATRbZMZlw/MistakesDoHappen2004.pdf.
17. Robert B. Avery, Paul S. Calem, Glenn B. Canner, and Shannon C. Mok, 2004. “Credit report accuracy and access to credit,” Federal Reserve Bulletin, volume 90, number 3 (June), pp. 297–322.
19. Alison Cassady and Edmund Mierzwinski, 2004. “Mistakes do happen: A look At errors in consumer credit reports,” Report, National Association of State PIRGs (June), at http://www.uspirg.org/uploads/BE/ev/BEevuv19a3KzsATRbZMZlw/MistakesDoHappen2004.pdf.
20. Robert B. Avery, Paul S. Calem, Glenn B. Canner, and Shannon C. Mok, 2004. “Credit report accuracy and access to credit,” Federal Reserve Bulletin, volume 90, number 3 (June), pp. 297–322.
21. Fair Credit Reporting Act (FCRA), 15 U.S.C.A §1681s–2(A)(1)(a).
22. Mark Furletti, 2002. “An overview and history of credit reporting,” Payment Cards Center, discussion paper 02–07. Philadelphia: Federal Reserve Bank of Philadelphia, at http://www.philadelphiafed.org/payment-cards-center/publications/discussion-papers/2002/CreditReportingHistory_062002.pdf.
24. Daniel J. Solove and Chris Jay Hoofnagle, 2006. “A model regime of privacy protection,” University of Illinois Law Review, volume 2006, number 2, at http://home.law.uiuc.edu/lrev/publications/2000s/2006/2006_2/index.html.
25. 15 U.S.C. §1681e(b).
26. Kristan T. Cheng, 2008. “Identity theft and the case for a national credit report freeze law,” North Carolina Banking Institute, volume 12, pp. 239–272; version at http://studentorgs.law.unc.edu/documents/ncbank/volume12/cheng.pdf.
28. Lenders are required to take extra precautions to verify a consumer’s identity before granting credit when a fraud alert is listed on their report. While a useful defensive technique, it is not nearly as a credit freeze.
29. Jane Adler, 2005. “Troubles for cobranded cards,” Credit Card Management, volume 17, number 11, pp. 12–16.
30. “Credit card choices,” InsideFlyer Magazine (November 2008), at http://www.insideflyer.com/articles/article.php?key=4938.
31. Ibid.; Gary Leff, 2007. “The Chase churn is over,” blog post to View From the Wing (17 December), at http://boardingarea.com/blogs/viewfromthewing/2007/12/16/the-chase-churn-is-over/; and, “Is Chase cracking down on churning M+ Visa cards?” thread on the FlyerTalk.com United Mileage Plus Forum (2007), at http://www.flyertalk.com/forum/united-mileage-plus/642366-chase-cracking-down-churning-m-visa-cards.html.
32. Eric Dash, 2008. “Citigroup considers repealing a pledge, and the slogan with it,” New York Times (25 June), at http://www.nytimes.com/2008/06/25/business/media/25adco.html.
33. Jane J. Kim, 2007. “How to cash in on 0% offers at credit cards,” Wall Street Journal (23 June); Austin H. Spencer, 2008. “The free lunch: Arbitrage profits associated with credit cards,” Journal Of Economic Issues, volume 42, number 1 (March), pp. 243–247.
34. “A summary of techniques for receiving BT money into your checking,” thread on the Fatwallet.com Finance Forum (2007), at http://www.fatwallet.com/forums/finance/740779.
36. “SIS comes back with the App–O–Rama FAQ — AKA MAKING THOUSANDS OF $$ FROM CREDIT Link AOR stories and post your successes,” thread on the Fatwallet.com Finance Forum (2006), at http://www.fatwallet.com/forums/finance/632935/.
37. J. Alex Heroy, 2008. “Other people’s money: How a time–gap in credit reporting may lead to fraud,” North Carolina Banking Institute, volume 12, pp. 321–352.
38. We have found over 100 detailed first–hand reports of this “App–o–rama” large–scale application and arbitrage, with some individuals reporting that they were approved for over 30 credit cards. Reports of sums of 0 percent arbitrage over US$300,000 are equally common; see “SIS comes back with the App–O–Rama FAQ — AKA MAKING THOUSANDS OF $$ FROM CREDIT Link AOR stories and post your successes,” thread on the Fatwallet.com Finance Forum (2006), at http://www.fatwallet.com/forums/finance/632935/.
39. “Bumping and bumpage: TU now bumps after Equifax? reoccurring choppage,” thread on the Fatwallet.com Finance Forum (2008), at http://www.fatwallet.com/forums/topic_view.php?catid=52&threadid=799643.
40. “True Credit suspending accounts for suspected bumping?” thread on the CardRatings Forum (2007), at http://www.cardratings.com/forum/viewtopic.php?f=1&t=14087; “MY True Credit accaunt [sic] Terminated?” thread on the myFICO Forum (2007), at http://ficoforums.myfico.com/fico/board/message?board.id=generalcredit&thread.id=38594; and, Anthony Koos, 2007. “The TrueCredit shutdown and a discussion of bumpage,” blog post to HustleBlog (31 August), at http://www.hustleblog.com/index.php/the-truecredit-shutdown-and-a-discussion-of-bumpage.
41. “TransUnion bumpage is finished, no more B*” thread on the Fatwallet.com Finance Forum (2008), at http://www.fatwallet.com/forums/finance/841394/?start=0.
42. “Bumping and bumpage: TU now bumps after Equifax? reoccurring choppage,” thread on the Fatwallet.com Finance Forum (2008), at http://www.fatwallet.com/forums/topic_view.php?catid=52&threadid=799643.
43. Systems can be designed to either fail open or fail closed. As an example, many office buildings will fail open, and automatically open all locked doors in the event of a fire alarm, so that the occupants can escape. A government compound storing classified data is far more likely to fail closed, and keep the doors locked in the event of a fire.
44. “EugeneV’s annual App–O–Rama 3.0 with EXP frozen,” thread on the Fatwallet.com Finance Forum (2007), at http://www.fatwallet.com/forums/arcmessageview.php?catid=52&threadid=773159.
45. “Freeze Experian credit score for fun and profit,” thread on the Fatwallet.com Finance Forum (2008), at http://www.fatwallet.com/forums/arcmessageview.php?catid=52&threadid=803709.
46. These business CRAs are Dun & Bradstreet, Experian Business, Equifax Business and Business Credit USA.
47. Shara Tibken, 2008. “Charging ahead,” Wall Street Journal (11 August).
48. Jaclyne Badal, 2006. “Piggybacking on a credit history,” Wall Street Journal (1 October).
49. Tom Quinn, 2008. “Credit scoring models and credit scores,” testimony Before The U.S. House Of Representatives Committee On Financial Services, Subcommittee On Oversight and Investigations (29 July), at http://financialservices.house.gov/hearing110/quinn072908.pdf.
50. Jane J. Kim, 2009. “New FICO credit score debuts,” Wall Street Journal (29 January).
51. “SIS comes back with the App–O–Rama FAQ — AKA MAKING THOUSANDS OF $$ FROM CREDIT Link AOR stories and post your successes,” thread on the Fatwallet.com Finance Forum (2006), at http://www.fatwallet.com/forums/finance/632935/.
52. Due to the requirement that the subject have a good credit report, this technique is not applicable to synthetic identity theft, in which a legitimate individual’s social security number and other information are combined with a fake name and address to create a new fake identity. Such a new synthetic identity would not have a long positive payment history, and thus would be unlikely to be approved for hundreds of thousands of dollars in balance transfers.
53. Peter P. Swire, 2004. “A model for when disclosure helps security: What is different about computer and network security?” Journal on Telecommunications and High Technology Law, volume 2, at http://papers.ssrn.com/sol3/papers.cfm?abstract_id=531782.
54. While we presented the piggybacking flaw, discussed in section 4.5, we did not propose a fix for it. This issue has received a significant amount of press attention, and has even been discussed before a Congressional Committee. Fair Isaac and the CRAs claim to have already addressed much of the abuse, and likely are keeping their eye on those consumers who continue to engage in the practice. We therefore do not feel that it is necessary to propose any changes to the credit reporting system in response to this issue.