Изследователите по сигурността откриха сериозен недостатък в Експресен транзит на iPhone, който позволява на хакерите да откраднат пари от карта Visa на потребителя. Казват, че проблемът може лесно да бъде решен, но нито Apple, нито Visa изглеждат заинтересовани.
Недостатъкът прави възможно безконтактната система за плащане на iPhone, предназначена да улесни и по-бързо плащат за обществен транспорт, да бъдат таксувани за произволни транзакции от устройство, което имитира транспорт терминал.
Express Transit на iPhone има основен недостатък
Express Transit на iPhone и Apple Watch не изисква удостоверяване, за разлика от използването на Apple Pay в магазин или онлайн. Той изключва този процес, за да ускори процеса на плащане, така че потребителите да не бъдат задържани, когато хващат влакове, автобуси и други услуги.
Нещо повече, Apple Pay също няма лимит за плащане, за разлика от безконтактните кредитни и дебитни карти. Така че, като просто използват устройство, което имитира терминал за обществен транспорт, хакерите могат да зареждат iPhone толкова, колкото искат, само с едно докосване.
Изследователи от университетите в Съри и Бирмингам успяха да използват този недостатък, за да наложат плащане от £1000 (прибл. 1345 долара) на един iPhone, въпреки че по това време е бил заключен. Но работи само с карти Visa.
Тези, които използват карта MasterCard или American Express, които използват допълнителен процес на удостоверяване с Express Transit, се считат за безопасни.
Експресният транзит трябва да е активиран
Транзакциите Express Transit не могат да се извършват дистанционно — нападателят трябва да е близо до вашето устройство, за да се възползва от този недостатък. Но е възможно един фалшив терминал за плащане да бъде скрит в чанта и след това да се докосне до iPhone на потребителя, докато е в джоба му.
Express Transit е незадължителна функция, която трябва да бъде активирана ръчно, така че вашето устройство е уязвимо само ако сте го активирали и сте го свързали с карта Visa. Но това, което е тревожно, е, че нито Apple, нито Visa изглеждат готови да намерят решение.
Apple обвинява за проблема Visa и каза The Telegraph че „Visa не вярва, че този вид измама е вероятно да се случи в реалния свят, като се има предвид множество нива на сигурност на място." Той също така посочи, че потребителите са защитени от нулевата отговорност на Visa политика.
Говорител на Visa настоя, че картите, свързани с Express Transit, са „сигурни“ и че картодържателите „трябва да продължат да ги използват с увереност“. Те също отметнаха констатациите като добави, че „вариациите на схемите за безконтактни измами са изследвани в лабораторни условия повече от десетилетие и се оказаха непрактични за изпълнение в мащаб в реалния мащаб свят.”
Това е различно
Въпреки че Apple и Visa изглеждат безгрижни, изглежда има основателни причини собствениците на iPhone да се притесняват. За разлика от други транзакции на Apple Pay, плащанията Express Transit не трябва да бъдат оторизирани чрез Face ID, Touch ID или парола – и няма ограничение за това колко могат да бъдат изразходвани.
Така че е напълно правдоподобно, че хакер може да скрие терминал за плащане в чанта, след което да го държи близо до iPhone или Apple на нищо неподозираща жертва Гледайте на натоварен влак или платформа, за да извършите таксуване, за което собственикът на iPhone не знае нищо, докато не напусне банковата им сметка или се появи на изявление.
Единственият начин да предотвратите това е просто да спрете да използвате карти Visa с Express Transit.
