Security Week 40: кража денег через Apple Pay
29 сентября исследователи из университетов Бирмингема и Суррея показали способ снятия средств с телефонов Apple, на которых активирована функция Apple Pay с использованием карты Visa (новость, сайт проекта, препринт научной работы). Важное дополнение: снятие средств не требует подтверждения пользователя путем разблокировки телефона, то есть можно инициировать мошенническую транзакцию без ведома владельца. Как и недавнее исследование из Швейцарии, атака предполагает передачу данных с телефона жертвы на платежный терминал через связку из двух устройств — приемника и передатчика, которые могут находиться на большом расстоянии друг от друга.
Не очень понятно, как квалифицировать данную недоработку — как уязвимость или как стандартную функциональность платежной системы. При выполнении некоторых условий списание средств с Apple Pay намеренно не требует разблокировки телефона. Например, при оплате на транспорте или в других условиях, где требуется быстрая авторизация, а соединение с интернетом может быть нестабильным. По идее, такая транзакция, как и оплата картой без подтверждения, должна иметь ограничение по сумме платежа. По факту же авторам исследования удалось обойти и это ограничение: в видеоролике на сайте проекта они демонстрируют снятие тысячи фунтов с заблокированного айфона.
Читать дальше →
Не очень понятно, как квалифицировать данную недоработку — как уязвимость или как стандартную функциональность платежной системы. При выполнении некоторых условий списание средств с Apple Pay намеренно не требует разблокировки телефона. Например, при оплате на транспорте или в других условиях, где требуется быстрая авторизация, а соединение с интернетом может быть нестабильным. По идее, такая транзакция, как и оплата картой без подтверждения, должна иметь ограничение по сумме платежа. По факту же авторам исследования удалось обойти и это ограничение: в видеоролике на сайте проекта они демонстрируют снятие тысячи фунтов с заблокированного айфона.
Читать дальше →
Источник: Хабрахабр
Похожие новости
- Как внедрить двухфакторную аутентификацию в веб-приложения, не предусматривающие ее изначально
- Ландшафт угроз информационной безопасности последних лет. Часть 1
- В России появился единый конструктор писем с ИИ
- Самые интересные задачи для безопасников — Джабба одобряет
- Как пройти путь до руководителя инфобеза?
- Стажировки в SOC. Часть 1: как организовать обучение на 1 тыс. человек
- Эволюция чат-ботов: 5 причин внедрить Telegram Web App
- Тестирование PT NGFW: ранняя версия межсетевого экрана нового поколения от Positive Technologies
- Обеспечение безопасности загрузчика GRUB в Linux
- Кадровый голод в сегменте маркетинговых услуг