Una falla di Apple Pay potrebbe svuotare il tuo conto bancario
I criminali informatici possono effettuare pagamenti contactless da iPhone bloccati.
I ricercatori della sicurezza informatica hanno rivelato un difetto senza patch in Apple Pay che consente agli aggressori di effettuare un pagamento Visa non autorizzato con un iPhone bloccato sfruttando la modalità Express Travel impostata nel portafoglio del dispositivo.
Un gruppo di accademici dell’Università di Birmingham e dell’Università del Surrey ha affermato:
“Un utente malintenzionato ha solo bisogno di un iPhone rubato e alimentato. Le transazioni potrebbero anche essere trasmesse da un iPhone all’interno della borsa di qualcuno, a loro insaputa”, . “Il criminale non ha bisogno dell’assistenza del commerciante e i controlli di rilevamento delle frodi di backend non hanno bloccato nessuno dei nostri pagamenti di prova”.
Express Travel è una funzionalità che consente agli utenti di iPhone e Apple Watch di effettuare pagamenti contactless rapidi per il trasporto pubblico senza dover riattivare o sbloccare il dispositivo, aprire un’app o persino convalidare con Face ID, Touch ID o un passcode.
Il replay man-in-the-middle (MitM) e l’attacco relay, che comporta il bypass della schermata di blocco per effettuare un pagamento illecito a qualsiasi lettore EMV, è reso possibile da una combinazione di difetti sia nel sistema di Apple Pay che in quello di Visa. Questo sistema non influisce, ad esempio, su Mastercard su Apple Pay o carte Visa su Samsung Pay.
Il modus operandi si basa sull’imitazione di una transazione di transito utilizzando un dispositivo Proxmark che funge da lettore di carte EMV che comunica con l’iPhone di una vittima e un’app Android abilitata per NFC che funziona come emulatore di carte per trasmettere segnali a un terminale di pagamento.
Leggi anche:
Nello specifico, sfrutta un codice univoco, noto anche come Magic Bytes, trasmesso dai varchi di transito per sbloccare Apple Pay. Questo sistema genera uno scenario in cui, riproducendo la sequenza di byte, il dispositivo Apple viene ingannato e autorizza una transazione fraudolenta.
Allo stesso tempo, il lettore EMV è anche indotto a credere che l’autenticazione dell’utente sul dispositivo sia stata eseguita, consentendo così di effettuare pagamenti di qualsiasi importo all’insaputa dell’utente iPhone.
Apple e Visa sono state avvisate della vulnerabilità rispettivamente nell’ottobre 2020 e nel maggio 2021, hanno affermato i ricercatori, aggiungendo che “entrambe le parti riconoscono la gravità della vulnerabilità, ma non hanno raggiunto un accordo su quale parte dovrebbe implementare una correzione”.
In una dichiarazione condivisa con la BBC, Visa ha affermato che questo tipo di attacco è “poco pratico”, aggiungendo: “Variazioni di schemi di frode senza contatto sono state studiate in ambienti di laboratorio per più di un decennio e si sono dimostrate poco pratiche da eseguire su larga scala nel mondo reale.”
“Questa è una preoccupazione per un sistema Visa, ma Visa non crede che questo tipo di frode possa aver luogo nel mondo reale, dati i molteplici livelli di sicurezza in atto”, ha detto un portavoce di Apple all’emittente nazionale britannica.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Instagram: instagram.com/guruhitech_official
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechweb
- Twitter: twitter.com/guruhitech1
- Threads: threads.net/@guruhitech_official
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- GETTR: gettr.com/user/guruhitech
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Eri a conoscenza di questa falla di Apple Pay e Visa? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].