Các chuyên gia cho biết rằng, họ có thể vượt qua màn hình khóa Apple Pay của iPhone để thực hiện các thanh toán không tiếp xúc khi thẻ Visa được cài đặt trên chế độ chuyển tiếp nhanh (Express Transit mode) trong ví iPhone. Chế độ chuyển tiếp cho phép người dùng tiến hành thanh toán di động không tiếp xúc nhanh chóng mà không cần xác thực vân tay hoặc nhận diện khuôn mặt, ví dụ tại một cửa quay của ga tàu điện ngầm.
Đội nghiên cứu đã sử dụng thiết bị radio đơn giản để khám phá mã độc mới nhất được phát bởi những cổng chuyển tiếp hoặc các trình điều khiển cửa quay mà có thể mở khóa Apple Pay. Đoạn mã này được gọi là "magic bytes", được sử dụng để can thiệp vào các tín hiệu di chuyển giữa iPhone và đầu đọc thẻ. Những nhà nghiên cứu có thể tạo tín hiệu làm cho iPhone nhận biết rằng nó đang tương tác với một cổng chuyển tiếp mà không phải một đầu đọc thẻ bằng cách phát "magic bytes" và thay đổi các trường khác trong giao thức.
Do đó, lỗ hổng này có khả năng bị tin tặc lợi dụng nhằm thực hiện những giao dịch từ iPhone được cất trong túi của một người dùng mà họ không hề hay biết.
Kỹ thuật này còn cho phép các chuyên gia vượt qua giới hạn thanh toán không tiếp xúc, cho phép lấy tiền trong tài khoản người dùng iPhone mà không hề nhận ra. Lý do là vì đầu đọc thẻ đã mặc định rằng iPhone đã thực hiện thành công xác thực người dùng.
Các nhà nghiên cứu nhấn mạnh rằng, lỗ hổng chỉ áp dụng cho những hệ thống Apple Pay và thẻ Visa hoạt động cùng nhau và không ảnh hưởng các tổ hợp khác, ví dụ như thẻ Mastercard trên iPhone.
Tiến sĩ Andreea Radu, giảng viên Trường Khoa học máy tính tại Đại học Birmingham, nhận xét: "Nghiên cứu của chúng tôi đã cho thấy một ví dụ rõ ràng về một tính năng, với mục đích từng bước làm cho cuộc sống trở lên dễ dàng hơn, nhưng lại trở nên phản tác dụng và tác động tiêu cực tới bảo mật, với khả năng gây ra những hậu quả tài chính nghiêm trọng đối với người dùng. Các cuộc thảo luận của chúng tôi với Apple và Visa cho thấy dù hai bên đều có lỗi một phần, nhưng cả hai đều không sẵn sàng nhận trách nhiệm và thực hiện sửa chữa, khiến người dùng dễ bị tấn công bất kỳ lúc nào".
Cũng trong nhóm nghiên cứu, Tiến sĩ Tom Chothia, đến từ Trường Khoa học máy tính tại Đại học Birmingham, cho biết thêm: "Người sở hữu iPhone nên kiểm tra xem họ có thẻ Visa được cài đặt cho thanh toán chuyển tiếp hay không, nếu có thì người dùng nên vô hiệu hóa nó. Người dùng Apple Pay không hẳn là sẽ gặp nguy hiểm, nhưng chỉ khi Apple hoặc Visa khắc phục điều này thì mới có thể yên tâm về tài khoản của mình".
Phản hồi với các phát hiện này, Brian Higgins, chuyên gia bảo mật tại công ty Comparitech khuyến cáo những người dùng Apple Pay và Visa nên xem xét thay đổi nhà cung cấp dịch vụ. "Loại hình khai thác này liên quan đến việc tìm kiếm dữ liệu anten kết nối trường gần (NFC - Near Field Communication) từ các thẻ thanh toán không tiếp xúc khi chúng bắt đầu trở lên phổ biến. Khi đó, hầu như không thể kết nối dữ liệu thô cho một chủ thẻ cá nhân, do đó không ai bận tâm đến điều này”.
“Hiện nay, có thể trích xuất các khoản thanh toán ngay lập tức với loại thiết bị phù hợp, nhưng đáng tiếc rằng không bên nào giữa Apple hay Visa chú ý quan tâm đến mối đe dọa đối với khách hàng, và như thường lệ, người tiêu dùng phải tự bảo vệ mình. Các nghiên cứu xác định nhiều nhà cung cấp dịch vụ đã có sẵn các biện pháp để ngăn chặn mối đe dọa này. Lời khuyên tốt nhất là người dùng nên đổi sang một trong những nhà cung cấp dịch vụ này sớm nhất có thể".
Quang Minh
08:00 | 24/02/2022
10:00 | 29/03/2024
07:00 | 04/10/2021
09:00 | 23/09/2021
14:00 | 02/08/2023
10:00 | 04/12/2024
13:00 | 14/09/2021
07:00 | 08/11/2021
16:00 | 19/10/2021
08:00 | 12/03/2021
08:00 | 07/02/2025
Cracked và Nulled, hai trong số các diễn đàn tấn công mạng lớn nhất thế giới với hơn 10 triệu người dùng vừa bị các nhà chức trách đánh sập.
13:00 | 25/12/2024
Năm 2024 sắp kết thúc, hãy cùng điểm lại những sự cố công nghệ nghiêm trọng nhất xảy ra trong năm qua, ảnh hưởng đến hàng tỷ người trên toàn cầu.
08:00 | 20/12/2024
Các nhà nghiên cứu tại hãng bảo mật di động Lookout (Mỹ) mới đây đã phát hiện ba công cụ gián điệp mới trên thiết bị Android do các tổ chức được nhà nước bảo trợ có tên lần lượt là BoneSpy, PlainGnome và EagleMsgSpy để theo dõi và đánh cắp dữ liệu từ các thiết bị di động.
07:00 | 02/12/2024
Theo cảnh báo của Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT/CC) thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông, các thủ đoạn lừa đảo tài chính trực tuyến đang gia tăng tại Việt Nam, nhất là chiêu trò giả mạo tổ chức tài chính để mời chào người dân vay tiền, từ đó chiếm đoạt thông tin và tài sản.
Một lỗ hổng bảo mật mới được vá trong công cụ lưu trữ 7-Zip đã bị khai thác để phát tán phần mềm độc hại SmokeLoader.
09:00 | 10/02/2025