Вразливість Apple Pay та Visa: як зловмисники можуть списати гроші із заблокованого iPhone

YouTube-канал Ver­i­ta­si­um провів показовий експеримент: за згодою відомого блогера Маркуса Браунлі (MKBHD) його команда списала $10 000 із заблокованого iPhone. Мета — наочно продемонструвати реальну вразливість у системі безконтактних платежів, яка вже давно привертала увагу дослідників безпеки.

Механізм атаки потребує фізичного доступу до пристрою та спеціалізованого обладнання, однак сама логіка схеми відносно проста: зловмисники змушують iPhone «думати», що він здійснює оплату на терміналі громадського транспорту.

Технічно атака реалізується через NFC-зчитувач карток, який перехоплює дані, якими iPhone обмінюється з терміналом безконтактної оплати. Цей зчитувач підключається до ноутбука, що збирає інформацію про транзакцію та передає її на окремий одноразовий телефон — саме він і прикладається до справжнього платіжного термінала. При цьому NFC-пристрій має бути налаштований на той самий ідентифікатор транзитного термінала, що й легітимний зчитувач.

Ключова умова для успіху атаки — активований на iPhone режим експрес-транзиту та прив’язана до нього картка Visa. Саме платіжна система Visa є слабкою ланкою: вразливість стосується виключно її карток і не відтворюється на жодному іншому смартфоні, окрім iPhone.

Visa вже відреагувала на публікацію, зазначивши, що реалізувати подібну атаку в реальних умовах надзвичайно складно. Компанія також нагадала, що всі користувачі системи захищені політикою нульової відповідальності Visa, яка передбачає відшкодування коштів у разі несанкціонованих транзакцій.