Imaginez votre iPhone dans votre poche, verrouillé, et pourtant quelqu'un parvient à retirer des milliers de dollars de votre portefeuille numérique sans toucher l'écran ni utiliser la reconnaissance faciale ! Cela pourrait sembler tout droit sorti d'un film de science-fiction, mais c'est pourtant une réalité, même si l'expérience a suscité la controverse. Des chercheurs en sécurité des universités de Surrey et de Birmingham ont mené une attaque sophistiquée contre l'iPhone du célèbre YouTubeur Marcus Brownlee (MKBHD), réussissant à dérober la somme faramineuse de 10 000 $ sur son appareil verrouillé.
Astuce de transport rapide
L'attaque, révélée par la chaîne Veritasium, exploite une faille de sécurité du mode Express Transit d'Apple Pay. Cette fonctionnalité permet des paiements rapides dans les stations de métro et de bus sans avoir à déverrouiller son iPhone ni à utiliser Face ID. Cependant, des chercheurs ont trouvé un moyen de tromper le téléphone et de lui faire croire qu'il se trouve à un portique d'accès à une station de transport en commun alors qu'il est en réalité devant un faux lecteur de carte.
Cela nécessite un accès physique à l'appareil et un équipement spécialisé. Un lecteur NFC connecté à un ordinateur portable est utilisé pour intercepter la connexion. L'identifiant du lecteur NFC est ensuite modifié pour correspondre à celui des terminaux autorisés, et les données de paiement collectées sont envoyées à un autre téléphone (un téléphone compromis) placé à proximité d'un terminal de paiement légitime afin de finaliser le vol.
Pourquoi les cartes Visa en particulier ?
Ce qui est intéressant avec cette vulnérabilité, c'est qu'elle ne fonctionne qu'avec une combinaison très spécifique : un iPhone et une carte Visa. Il s'avère que le problème ne vient pas du système d'exploitation d'Apple lui-même, mais plutôt des protocoles de sécurité de Visa pour la gestion des virements express. L'attaque est inefficace avec les cartes Mastercard ou American Express car ces sociétés utilisent des méthodes de sécurité différentes, impossibles à contourner de la même manière.
Les utilisateurs d'appareils Samsung et du service Samsung Pay sont également protégés contre ce type d'attaque, ce qui met la balle dans le camp de Visa et d'Apple pour clarifier qui est responsable de cette faille de sécurité qui permet de contourner les limites des transactions traditionnelles et de retirer des sommes considérables, jusqu'à des milliers de dollars, en une seule opération.
Devriez-vous vous inquiéter pour votre argent ?
Suite à cet incident, Apple a déclaré que le problème était lié au système Visa et qu'une telle fraude était peu probable dans la réalité, compte tenu de la complexité technique et de l'accès physique requis. Visa, de son côté, a souligné que ses clients bénéficient d'une garantie « responsabilité zéro », ce qui signifie que toute transaction frauduleuse de ce type peut être facilement récupérée.
En clair, vous n'avez pas à vous inquiéter.
Les experts estiment qu'une attaque d'une telle ampleur serait extrêmement difficile à mener dans la rue, mais cet incident nous rappelle que même les technologies les plus sécurisées peuvent présenter des failles inattendues. En cas de doute, le conseil le plus simple est d'éviter d'utiliser une carte Visa comme principal moyen de paiement pour les transports en commun sur votre iPhone, ou tout simplement de désactiver cette fonctionnalité si vous n'utilisez pas les transports publics compatibles.
Source:
5 commentaire