Cách tin tặc rút tài khoản ngân hàng từ ứng dụng thanh toán trên Apple và Samsung chỉ trong vài phút

Đưa iPhone cho Timur Yunosov, một nhà nghiên cứu an ninh mạng người Nga đã phát hiện các lỗ hổng trong các thiết bị thanh toán là điều có lẽ không khôn ngoan. Chỉ đưa điện thoại cho anh trong vài phút, Yunosov đã rút thấu chi do tài không ngân hàng vốn không còn tiền bằng cách chỉ cần chạm điện thoại đã được khóa vào một thiết bị đầu cuối.

May mắn thay, Yunosov là tin tặc rộng lượng, đang làm việc tại công ty bảo mật Positive Technologies ở Moscow (đang giải quyết hệ quả không mong đợi do Mỹ ra lệnh trừng phạt vì cáo buộc hỗ trợ các cơ quan an ninh của Điện Kremlin). Anh đã chuyển lại tiền không lâu sau khi chỉ ra các lỗ hổng tin tặc tấn công, chứng minh các lỗ hổng đã biết từ lâu nhưng vẫn chưa được sửa chữa trong tính năng Apple Pay cho phép thanh toán khi sử dụng phương tiện giao thông công cộng như tàu điện ngầm London hoặc hệ thống trung chuyển New York chỉ với điện thoại chạm nhanh vào máy thanh toán tiền và đi mà không cần mở khóa.

Hồi tháng 9, các nhà nghiên cứu của Đại học Birmingham và Surrey đã trình diễn vụ tấn công tương tự như Yunosov. Họ đã tìm ra cách để lừa một chiếc điện thoại thực hiện thanh toán tại cổng kiểm soát xe lửa, khi trên thực tế, điện thoại có thể được sử dụng thanh toán trên bất kỳ loại thiết bị bán lẻ đầu cuối hoặc được một tin tặc sử dụng để có thể chuyển thẳng tiền vào một tài khoản ngân hàng của tội phạm.

Nhưng Yunosov không chỉ cho thấy những gì có thể làm được trên một thiết bị Apple, anh còn cho Forbes thấy điện thoại Samsung cũng bị tấn công. Mặc dù thực hiện phức tạp hơn một chút, với một chiếc Samsung bị đánh cắp sử dụng tính năng chạm thanh toán, anh có thể mang nó về nhà và rút hết tiền mà không cần mở khóa điện thoại.

Cách thức đánh cắp tiền thông qua điện thoại Samsung không giống như cách thức đánh cắp tiền thông qua điện thoại Apple, nhưng có thể dễ dàng thực hiện trong một cửa hàng, với một thiết bị được gọi là “man-in-the-middle” (tấn công xen giữa) cho phép một thiết bị bị khóa sử dụng tại bất kỳ thiết bị thanh toán đầu cuối thông thường. Nhưng đây vẫn là một mối đe dọa cho bất kỳ ai đánh mất điện thoại Samsung vào tay kẻ gian có trình độ tin học giỏi.

Cách thức tương tự được sử dụng để bẻ khóa Apple Pay có thể được sử dụng để tiếp cận tài khoản Samsung Pay có liên kết với thẻ MasterCard cho đến khoảng tháng 6.2021. “Nhưng ở một thời điểm nào đó, họ đã âm thầm khắc phục vấn đề này và tôi không được thông báo”, Yunosov nói.

Tiện ích khi để tính năng chạm thanh toán vẫn tiếp tục hoạt động khi điện thoại hết pin và tắt nguồn tạo sự thuận lợi cho người dùng khi di chuyển bằng phương tiện giao thông, nhưng không ngờ cũng lại tạo điều kiện dễ dàng cho những kẻ trộm lấy tiền. “Nếu bạn sử dụng thẻ Visa trên Apple Pay, bất kỳ ai cũng có thể lấy điện thoại của bạn — thậm chí hết pin — đến một cửa hàng sang trọng trên phố Bond để mua một vài thứ bằng điện thoại của bạn,” Yunosov sau đó giải thích với tôi qua các tin nhắn trực tuyến. Và không có giới hạn về số tiền có thể được chuyển. Trong phần thử nghiệm của chúng tôi chỉ mất vài pound, nhưng con số đó có thể lên đến hàng nghìn trong một cuộc tấn công thực tế.

Tuy vậy, các cuộc tấn công chỉ xảy ra nếu kẻ tấn công có quyền truy cập thẳng vào điện thoại. Khi MasterCard và Google đã giải quyết được một vài các vấn đề, các vụ tấn công chỉ xảy ra với những thẻ Visa được sử dụng thanh toán chi phí đi lại, Yunosov nói.

Phản hồi của Apple, Visa, MasterCard

Samsung không cung cấp thông tin tại thời điểm bài đăng. Nói chung, Apple và các công ty thẻ tín dụng không tin có nhiều mối đe dọa do những cuộc tấn công này gây ra trong thực tế.

Người phát ngôn của Apple cho biết: “Đây là một mối lo ngại với hệ thống Visa, nhưng Visa không tin kiểu gian lận này có thể xảy ra trong thực tế vì đã áp dụng nhiều lớp bảo mật. Trong trường hợp một khoản thanh toán không do chủ thẻ thực hiện cho dù khó có thể xảy ra, Visa đã thông báo rõ ràng chủ thẻ được bảo vệ bởi chính sách không chịu trách nhiệm pháp lý của Visa.”

Người phát ngôn của Visa cho biết thêm: “Thẻ Visa được kết nối với ví di động có tính năng chuyển tiếp rất an toàn và chủ thẻ nên tự tin tiếp tục sử dụng. Các cách thức gian lận không tiếp xúc được thử nghiệm trong phòng thí nghiệm trong hơn một thập niên qua và chứng minh là không dễ dàng thực hiện trong thực tế ở quy mô lớn. Nhiều lớp bảo mật được sử dụng để bảo vệ các khoản thanh toán và người tiêu dùng được hưởng lợi từ chính sách bảo đảm không chịu trách nhiệm pháp lý của Visa. Visa xem xét cẩn thận tất cả các mối đe dọa bảo mật và liên tục phát triển khả năng bảo mật thanh toán để bảo vệ chủ thẻ khỏi các mối đe dọa mới nhất trong thực tế.”

Người phát ngôn của MasterCard cho biết: “Chủ thẻ có thể vẫn tin tưởng thanh toán bằng MasterCard là an toàn và bảo mật; họ luôn được bảo vệ bất cứ khi nào và ở bất cứ nơi đâu họ chọn thanh toán. Ưu tiên cơ bản của chúng tôi là cung cấp tính bảo mật trong mọi giao dịch MasterCard. Chúng tôi sử dụng các công nghệ mới nhất trên không gian mạng, sinh trắc học và AI để xác định và ngăn chặn mối đe dọa gian lận trong mọi bước của quy trình mua hàng. . . Kịch bản học thuật này đã được chúng tôi giả định đưa ra thông qua chương trình thông báo lỗ hỏng có trách nhiệm và mặc dù kịch bản đó ít xảy ra trong thực tế hơn nhưng chúng tôi đã giải quyết vấn đề tiềm ẩn này. “