Появилась неприятная
новость.
Команда исследователей из
Швейцарского федерального технологического института (ETH) разработала атаку на банковские карты
Visa, которая позволяет обходить необходимость введения PIN при дорогих покупках бесконтактным способом.
Для осуществления атаки необходимо два
Android-смартфона и специальное ПО, разработанное швейцарцами. Один из смартфонов эмулирует бесконтактный POS-терминал, а другой эмулирует карту.
В момент оплаты на крупную сумму эмулятор POS запрашивает у карты
Visa данные, затем изменяет технические детали транзакции, отвечающие за запрос PIN, и отправляет по Wi-Fi данные измененной транзакции на смартфон, эмулирующий карту. Бинго, оплата произведена.
Для использования разработанного ПО не нужны даже рутовые права на смартфонах.
Суть уязвимость, как вы уже наверняка догадались, в отсутствии защиты (механизма аутентификации или криптографии) передаваемых между картой Visa и бесконтактным POS-терминалом данных. Исследователи говорят, что успешно протестировали атаку в реальных магазинах на картах
Visa Credit,
Visa Electron и
Visa VPay и не встретили каких-либо препятствий.
Более того, ресерчеры сообщили, что нашли еще одну уязвимость в процессе аутентификации терминала, которая кроме
VIsa затрагивает и
Mastercard. Но эту ошибку они не тестировали и не могут сказать, работает ли ее эксплойт на практике.
Берегите банковские карты, господа.