Кража денег с PayPass-карты - теперь не только 500 грн

Мы уже не раз писали о том, что злоумышленники могут бесконтактно похитить с карты до 500 грн, не зная PIN код. Теперь этого ограничения нет – можно украсть любую сумму в любой точке мира!

Исследователи из Цюриха опубликовали отчет, который показывает уязвимость в дизайне стандарта EMV и протоколе бесконтактных платежей Visa. Все, что нужно злоумышленнику – два смартфона со специальным ПО.

Принцип атаки:

На первом смартфоне установлен PoS-эмулятор, который злоумышленник должен поднести к карте жертвы. Он запрашивает карту для совершения платежа, модифицирует данные транзакции, указывая, что ввод PIN-кода не требуется, а затем передает информацию по интернету другому смартфону, на котором установлен эмулятор бесконтактной карты VISA. И уже со второго смартфона происходит оплата «картой» на реальный терминал, без PIN кода.

Видео работы уязвимости опубликовано на канале разработчиков

Данная уязвимость опасна по двум причинам. 

Первая – уязвимость на уровне архитектуры протоколов VISA, и архитектуры самого стандарта бесконтактной оплаты. А это значит, что на исправление могут уйти годы и миллионы долларов. 

Вторая – простота технической реализации. Не нужно приобретать POS терминал, регистрировать фирму и подключать эквайринг. Можно просто рассчитаться за дорогой товар в магазине, в то время как настоящий владелец и сама карта будут где-то на другом конце города ехать в маршрутке. Это исследователи и сделали в качестве эксперимента - они смогли успешно обойти PIN-коды при использовании карт Visa Credit, Visa Electron и VPay.

И главная проблема – поскольку этот тип атаки не ограничивается 500 гривнами, он стал выгоднее, прибыльнее, и рентабельнее  для злоумышленника.

Полный отчет и математические расчёты исследователи выложили в публичном доступе (https://arxiv.org/pdf/2006.08249.pdf), и в скором времени наверняка появится ПО для подобных атак. Ведь даже если исследователи не выложили ПО в открытый доступ, то повторить то, что кто-то сделал один раз и доказал возможность такой атаки – для злоумышленника не проблема…

Чтобы не беспокоиться о подобный угрозах, покупайте кошельки с RFID защитой от LOCKER’s