Es posible para un mismo cliente, dado un número de tarjeta American Express, predecir el número de la siguiente tarjeta que se le asignaría (tras caducidad o cancelación de la anterior).

Samy Kamkar (@SamyKamkar), conocido entre otras cosas por haber desarrollado el gusano "Samy" de MySpace, descubrió este patrón al recibir una tarjeta nueva por perder la antigua. Comparó el número antiguo con el nuevo, y notó que algunos de los dígitos eran similares. Tras recopilar más parejas de números nuevos y antiguos encontró un patrón global que le permite predecir el número de la siguiente tarjeta dado el anterior.

Esto podría ser útil para un atacante con una tarjeta robada de esta institución, que podría predecir el número de la tarjeta siguiente. Con ello se reconstruiría toda la información necesaria para obtener una copia de la nueva tarjeta, si bien no funcionaría en todos los establecimientos por no ser posible predecir el CVV de la nueva tarjeta. En la reconstrucción de la nueva tarjeta se aprovechan ciertas características de las tarjetas, como que la nueva fecha de expiración es precedible según la fecha de la petición de la nueva tarjeta, y que otros campos internos son válidos simplemente copiándolos de la antigua o se derivan fácilmente. Todo esto tiene sus matices y también intervienen otras protecciones adicionales, que pueden dificultar el ataque.

LEER MAS: http://unaaldia.hispasec.com/2015/11/predecibilidad-en-la-asignacion-de.html