I ricercatori della sicurezza informatica hanno rivelato un difetto senza patch in Apple Pay che gli aggressori potrebbero abusare per effettuare un pagamento Visa non autorizzato con un iPhone bloccato sfruttando la modalità Express Travel impostata nel portafoglio del dispositivo.
"Un utente malintenzionato ha solo bisogno di un iPhone rubato e alimentato. Le transazioni potrebbero anche essere trasmesse da un iPhone all'interno della borsa di qualcuno, a loro insaputa", ha affermato un gruppo di accademici dell'Università di Birmingham e dell'Università del Surrey . "L'attaccante non ha bisogno dell'assistenza del commerciante e i controlli di rilevamento delle frodi di backend non hanno bloccato nessuno dei nostri pagamenti di prova".
Express Travel è una funzionalità che consente agli utenti di iPhone e Apple Watch di effettuare pagamenti contactless rapidi per il trasporto pubblico senza dover riattivare o sbloccare il dispositivo, aprire un'app o persino convalidare con Face ID, Touch ID o un passcode.
Il replay man-in-the-middle ( MitM ) e l' attacco relay , che consiste nel bypassare la schermata di blocco per effettuare illecitamente un pagamento a qualsiasi lettore EMV, è reso possibile da una combinazione di difetti sia nel sistema di Apple Pay che in quello di Visa, e non influisce, ad esempio, su Mastercard su Apple Pay o carte Visa su Samsung Pay.
Il modus operandi si basa sull'imitazione di una transazione di transito utilizzando un dispositivo Proxmark che funge da lettore di carte EMV che comunica con l'iPhone di una vittima e un'app Android abilitata per NFC che funziona come emulatore di carte per trasmettere segnali a un terminale di pagamento.
Nello specifico, sfrutta un codice univoco, noto anche come Magic Bytes, trasmesso dai varchi di transito per sbloccare Apple Pay, risultando in uno scenario in cui riproducendo la sequenza di byte, il dispositivo Apple viene ingannato e autorizza una transazione fraudolenta come se provenisse da la barriera del biglietto, quando, in realtà, è stata attivata tramite un terminale di pagamento senza contatto sotto il controllo dell'attaccante.
Allo stesso tempo, il lettore EMV è anche indotto a credere che l'autenticazione dell'utente sul dispositivo sia stata eseguita, consentendo così di effettuare pagamenti di qualsiasi importo all'insaputa dell'utente iPhone.
Apple e Visa sono state avvisate della vulnerabilità rispettivamente nell'ottobre 2020 e nel maggio 2021, hanno affermato i ricercatori, aggiungendo che "entrambe le parti riconoscono la gravità della vulnerabilità, ma non hanno raggiunto un accordo su quale parte dovrebbe implementare una correzione".
In una dichiarazione condivisa con la BBC, Visa ha affermato che questo tipo di attacco è "poco pratico", aggiungendo: "Variazioni di schemi di frode senza contatto sono state studiate in ambienti di laboratorio per più di un decennio e si sono dimostrate poco pratiche da eseguire su larga scala nel mondo reale."
"Questa è una preoccupazione per un sistema Visa, ma Visa non crede che questo tipo di frode possa aver luogo nel mondo reale, dati i molteplici livelli di sicurezza in atto", ha detto un portavoce di Apple all'emittente nazionale britannica.
Commenti
Posta un commento