Użytkownicy iPhone’a zostali wezwani do usunięcia Visa jako karty transportowej za pośrednictwem Apple Pay po tym, jak badacze odkryli niebezpieczną lukę.
Naukowcy z University of Birmingham i University of Surrey zasugerowali, że oszuści mogą wykorzystać tę lukę do obejścia zabezpieczeń i dokonywania nieograniczonych płatności zbliżeniowych.
Eksperci ostrzegają, że problem może nawet zostać wykorzystany do dokonywania transakcji z czyjegoś iPhone’a, gdy znajduje się on w torbie i bez wiedzy właściciela.
Twierdzą, że luka w zabezpieczeniach występuje tylko w Apple Pay, gdy karta Visa jest skonfigurowana jako Express Travel Card, znana również jako tryb Express Transit – funkcja przeznaczona dla właścicieli do korzystania z transportu publicznego bez konieczności odblokowywania telefonu. Korzystając z prostego sprzętu radiowego, zespół zdołał oszukać iPhone’a, by myślał, że komunikuje się z bramką tranzytową, podczas gdy w rzeczywistości był to czytnik płatności używany przez sklepy, znany przez ekspertów cybernetycznych jako atak typu „man-in-the-middle”.
Dokonano tego, identyfikując unikalny kod nadawany przez bramki tranzytowe lub kołowroty, który był następnie wykorzystywany do zakłócania sygnałów między iPhonem a czytnikiem kart sklepowych.
Badacze powiedzieli, że podzielili się szczegółami problemu z Apple i Visa, twierdząc, że obie firmy uznały powagę luki, ale nie doszły do porozumienia, kto powinien wdrożyć poprawkę.
Słabość nie dotyczy innych kombinacji, takich jak Mastercard w iPhone’ach czy Visa w Samsung Pay. Pełne wyniki badania zostaną przedstawione w artykule na sympozjum IEEE 2022 na temat bezpieczeństwa i prywatności.
