Уязвимость безопасности в Apple Pay

Вы используете Apple Pay каждый день, но ваш iPhone или Apple Watch только что украли? Выяснилось, что...

Уязвимость безопасности в Apple Pay

Вы используете Apple Pay каждый день, но ваш iPhone или Apple Watch только что украли? Выяснилось, что у этого сервиса есть очень серьезная дыра в безопасности, которая позволяет хакерам совершать несанкционированные платежи с вашего телефона или часов, даже когда он заблокирован. За открытием стоят ученые из Великобритании, а точнее из Университета Бирмингема и Университета Суррея.

Способ кражи денег с карты

Сообщается, что режим «Экспресс-транзит», который был представлен в сервисе в iOS 12.3, является причиной уязвимости в Appe Pay. Когда этот режим включен, пользователи могут быстро оплачивать проезд в общественном транспорте с помощью Apple Pay без необходимости будить, разблокировать устройство или открывать приложение. Платежи даже не нужно аутентифицировать с помощью Face ID, Touch ID или PIN-кода.

Режим Express Public Transport Card чрезвычайно удобен, но к сожалению, также снижает уровень безопасности приложения. Как работает этот режим? Исследователи объясняют, что бесконтактные терминалы, через которые покупаются билеты на общественный транспорт, передают нестандартную последовательность байтов, способную обойти блокировку iPhone. Apple Pay проверяет, выполняет ли терминал все требования, и если да, обрабатывает платеж.

Создав поддельный терминал, британским исследователям удалось использовать Apple Pay для обработки бесконтактных платежей. Это можно было сделать только с помощью карт Visa, но в целом метод очень эффективен. Ученые говорят, что они успешно использовали платежный терминал в магазине для совершения мошеннических платежей на сумму до 1000 фунтов стерлингов с заблокированного iPhone.

Теоретически хакеры могут получить деньги со счета владельца не только украденного iPhone, но и iPhone в кармане или кошельке. Ведь метод обходит блокировку смартфона.

Уязвимость ждет исправления

Хуже всего то, что пока ни одна из сторон – ни Apple, ни Visa – не внесла никаких поправок, чтобы восполнить пробел. Говоря простым языком, обе компании берут на себя ответственность друг за друга в этом вопросе.

Мы представили этот тип атак и Apple, и Visa и обсудили его с их группами безопасности. Apple предположила, что лучшим решением Visa будет внедрение дополнительных систем обнаружения мошенничества, в частности проверки IAD (данных приложения-эмитента) и MCC (кода категории продавца). Visa, тем временем, отметила, что проблема возникла только с Apple (а не с Samsung Pay, например), поэтому предложила, чтобы ответ на исправление был реализован в самой Apple Pay.