Stel je voor: je iPhone zit in je zak, volledig vergrendeld, maar toch weet iemand duizenden dollars van je digitale portemonnee af te halen zonder het scherm aan te raken of gezichtsherkenning te gebruiken! Dit klinkt misschien als iets uit een sciencefictionfilm, maar het is echt gebeurd in een, zij het controversieel, experiment. Beveiligingsonderzoekers van de universiteiten van Surrey en Birmingham voerden een geavanceerde aanval uit op de iPhone van de populaire YouTuber Marcus Brownlee (MKBHD) en slaagden erin maar liefst $10,000 van zijn vergrendelde apparaat af te halen.
Snelle transporttruc
De aanval, die onder de aandacht werd gebracht door het bekende Veritasium-kanaal, maakt gebruik van een kwetsbaarheid in de Express Transit-modus van Apple Pay. Deze functie is ontworpen om snel te betalen bij metro- en busstations zonder dat je je iPhone hoeft te ontgrendelen of Face ID hoeft te gebruiken. Onderzoekers hebben echter een manier gevonden om de telefoon te laten denken dat hij zich bij een poortje van een metrostation bevindt, terwijl hij in werkelijkheid bij een nep-kaartlezer staat.
Dit vereist fysieke toegang tot het apparaat en gespecialiseerde apparatuur. Een NFC-lezer, aangesloten op een laptop, wordt gebruikt om de verbinding te onderscheppen. De ID van de NFC-lezer wordt vervolgens aangepast aan de ID's van geautoriseerde terminals, en de verzamelde betaalgegevens worden naar een andere telefoon (een gecompromitteerde telefoon) gestuurd. Deze telefoon wordt in de buurt van een legitieme kaartlezer geplaatst om de diefstal te voltooien.
Waarom specifiek Visa-kaarten?
Wat interessant is aan deze kwetsbaarheid, is dat deze alleen werkt met een zeer specifieke combinatie: een iPhone en een Visa-kaart. Het blijkt dat het probleem niet in het besturingssysteem van Apple zelf zit, maar in de beveiligingsprotocollen van Visa voor het verwerken van snelle overboekingen. De aanval werkt niet met Mastercard of American Express-kaarten, omdat deze bedrijven andere beveiligingsmethoden gebruiken die niet op dezelfde manier te omzeilen zijn.
Gebruikers van Samsung-apparaten en de Samsung Pay-service zijn ook veilig voor dit soort aanvallen. Dit legt de bal bij Visa en Apple om op te helderen wie verantwoordelijk is voor dit beveiligingslek dat het mogelijk maakt om de limieten van traditionele transacties te omzeilen en enorme bedragen tot wel duizenden dollars in één transactie op te nemen.
Moet u zich zorgen maken over uw geld?
In reactie op dit incident verklaarde Apple dat het probleem verband hield met het Visa-systeem en dat dergelijke fraude in de praktijk onwaarschijnlijk is vanwege de technische complexiteit en de vereiste fysieke toegang. Visa benadrukte op zijn beurt dat haar kaarthouders worden beschermd door een "nul aansprakelijkheid"-beleid, wat betekent dat frauduleuze transacties van deze aard gemakkelijk kunnen worden teruggevorderd.
Simpel gezegd: u hoeft zich geen zorgen te maken.
Experts denken dat het uitvoeren van zo'n grootschalige aanval op straat extreem moeilijk zou zijn, maar het dient als een belangrijke herinnering dat technologie, hoe veilig ook, altijd onverwachte kwetsbaarheden kan bevatten. Als u zich zorgen maakt, is het eenvoudigste advies om geen Visa-kaart te gebruiken als primaire betaalmethode voor "Fast Transit" op uw iPhone, of om de functie gewoon uit te schakelen als u geen gebruikmaakt van ondersteund openbaar vervoer.
Bron:
5 opmerkingen