Especialistas em segurança alertam sobre hack do Apple Pay Express Transit que permite grandes pagamentos não autorizados de vistos de iPhones bloqueados

Pesquisadores no Reino Unido demonstraram como grandes pagamentos sem contato não autorizados podem ser feitos em iPhones bloqueados, explorando Apple Pay recurso Express Transit quando configurado com Visa.

Express Transit é um & zwnj; Apple Pay & zwnj; recurso que permite o pagamento 'tap-and-go' nas barreiras de tíquetes, eliminando a necessidade de autenticação com Face ID, Touch ID ou uma senha. O dispositivo não precisa ser ativado ou desbloqueado para usar o Express Transit.

Pesquisadores de Ciência da Computação das Universidades de Birmingham e Surrey demonstraram ao BBC como o ataque funciona explorando uma fraqueza no sistema sem contato da Visa por meio do uso de um pequeno equipamento de rádio disponível comercialmente, que é colocado próximo ao telefone e mascarado como uma barreira de tíquetes.

Um telefone Android rodando um aplicativo desenvolvido pelos pesquisadores é usado para transmitir sinais do Iphone a um terminal de pagamento sem contato e modifica as comunicações para enganar o terminal fazendo-o agir como se o & zwnj; iPhone & zwnj; foi desbloqueado e um pagamento autorizado.

Ao demonstrar o ataque, os pesquisadores fizeram um pagamento Visa sem contato de £ 1.000 a partir de um & zwnj; iPhone & zwnj ;. Os cientistas tiraram dinheiro apenas de suas próprias contas. Os pesquisadores disseram que o telefone Android e o terminal de pagamento usados ​​não precisam estar próximos ao & zwnj; iPhone & zwnj; da vítima; contanto que haja uma conexão com a Internet.

A Apple disse ao BBC o assunto era um problema com o sistema Visa.

que megapixels é o iphone 7

“Levamos muito a sério qualquer ameaça à segurança dos usuários”, disse a Apple. 'Esta é uma preocupação com o sistema Visa, mas a Visa não acredita que esse tipo de fraude ocorra no mundo real, dadas as múltiplas camadas de segurança existentes. No caso improvável de ocorrer um pagamento não autorizado, a Visa deixou claro que seus portadores de cartão estão protegidos pela política de responsabilidade zero da Visa. '

Os pesquisadores disseram que o ataque pode ser mais fácil de implantar contra um & zwnj; iPhone & zwnj; roubado, embora não haja evidências de que o hack tenha sido usado em estado selvagem. A Visa disse que os pagamentos eram seguros e que ataques desse tipo eram impraticáveis ​​fora de um laboratório.

iphone 12 quando vai ser lançado

“Os cartões Visa conectados ao Apple Pay Express Transit são seguros e os titulares dos cartões devem continuar a usá-los com confiança”, disse um porta-voz da Visa. 'Variações de esquemas de fraude sem contato foram estudadas em ambientes de laboratório por mais de uma década e provaram ser impraticáveis ​​para execução em escala no mundo real.'

Os pesquisadores disseram ao BBC eles abordaram a Apple e a Visa pela primeira vez com suas preocupações há quase um ano, mas apesar das conversas 'úteis', o problema ainda não foi resolvido. Os pesquisadores também testaram o Express Transit com Mastercard, mas descobriram que a forma como a segurança funciona evitou o ataque.

'Tem alguma complexidade técnica', disse a Dra. Andreea Radu, da Universidade de Birmingham, que liderou a pesquisa. 'Mas eu sinto que as recompensas por fazer o ataque são bastante altas. Em alguns anos, isso pode se tornar um problema real. '

O Dr. Tom Chothia, também da Universidade de Birmingham, aconselhou o & zwnj; iPhone & zwnj; os usuários devem verificar se possuem um cartão Visa configurado para usar o Express Transit e, em caso afirmativo, desabilitá-lo. 'Não há necessidade de & zwnj; Apple Pay & zwnj; os usuários correm perigo, mas até que a Apple ou a Visa corrijam isso, eles estão ”, disse ele.