Błąd bezpieczeństwa pozwala płacić kartą Visa bez podania kodu PIN

Błąd dotyczy wszystkich współczesnych kart zbliżeniowych Visa, w tym Visa Credit, Visa Debit, Visa Electron oraz V Pay. Ponadto, zdaniem naukowców, może mieć zastosowanie w przypadku systemów Discover i UnionPay. Nie dotyka natomiast Mastercard, American Express oraz JCB, co zostało potwierdzone w praktyce.

Aktualizacja (09/09/2020 15:35): Jest oficjalne oświadczenie firmy Visa, z którego treścią możecie zapoznać się poniżej.

Visa poważnie traktuje wszystkie zagrożenia bezpieczeństwa płatności i docenia działania branży oraz środowiska akademickiego na rzecz poprawy bezpieczeństwa transakcji. Wyniki tego typu testów to dobra okazja do przypomnienia instytucjom finansowym o potrzebie wnikliwej oceny potencjalnych czynników ryzyka. Jednak warto pamiętać, że w rzeczywistości próba zdalnego sczytania i nieuprawnionego wykorzystania danych zapisanych na karcie okazała się niemożliwa do zastosowania przez osoby, które chciałyby dokonać transakcji oszukańczych.

Konsumenci nadal mogą ze spokojem korzystać ze swoich kart Visa. Dzięki wielowarstwowemu zabezpieczaniu płatności cyfrowych Visa utrzymuje liczbę transakcji oszukańczych na historycznie niskim poziomie nieprzekraczającym 0,1 procenta. Od niemal dziesięciu lat prowadzone są badania dotyczące różnych form symulowanych transakcji oszukańczych. W tym czasie nie było żadnych zgłoszeń dotyczących realnych zdarzeń tego typu.

Karty zbliżeniowe są bardzo bezpieczne. Poprzez zastosowanie takiej samej technologii zabezpieczeń jak EMV® Chip, karty zbliżeniowe są skutecznie zabezpieczone przed próbami dokonania transakcji oszukańczych za sprawą jednorazowego kodu, który zapobiega wykorzystaniu wrażliwych danych w nieuprawniony sposób.

Z pomocą sztucznej inteligencji nieustannie monitorujemy i oceniamy transakcje realizowane za pośrednictwem globalnej sieci płatniczej VisaNet, analizując ponad 500 unikalnych atrybutów ryzyka w ciągu około milisekundy. Pomaga to instytucjom finansowym szybko identyfikować i reagować na próby dokonywania transakcji oszukańczych. Dane NBP wskazują, że Polska plasuje się w ścisłej czołówce krajów UE o najniższym udziale transakcji oszukańczych.

Atak wykorzystuje zdolność terminali do pominięcia weryfikacji i przyjęcia poświadczeń z urządzenia konsumenckiego. Zaznaczmy, w podobny sposób działa Apple Pay. Posiadacze iPhone'ów nigdy bowiem nie wpisują PIN-u, a jedynie potwierdzają tożsamość poprzez Touch ID lub Face ID, czyli biometrię samego smartfonu.

Badacze odkryli, że protokół CVM (od ang. Cardholder verification method), który odpowiada za weryfikację tożsamości posiadacza, w przypadku zagrożonych kart nie jest jakkolwiek szyfrowany. Dzięki temu stworzyli aplikację na Androida, która niczym przekaźnik, pobiera dane z karty i wysyła do terminala jako uwierzytelnione. W efekcie przestępca może zapłacić dowolną kwotę bez znajomości kodu PIN, a to jeszcze nie koniec.

Wykryto także drugą podatność, tym razem pozwalającą wyłudzać niewielkie kwoty. Chodzi o sytuacje, w których terminal działa w trybie offline, a obciążenie konta płatnika odbywa się z opóźnieniem względem samej transakcji. Wtedy też karta wysyła do terminala szyfrogram, który zawiera dane niezbędne do ukończenia płatności. O ile jest poprawny.

Napastnik tymczasem ma możliwość modyfikacji rzeczonego szyfrogramu tak, aby płatność na terminalu została zaakceptowana, jednak bank nie mógł później obciążyć konta. Tu z kolei otwiera się pole do oszukiwania taksówkarzy, ulicznych sprzedawców i wszystkich innych korzystających z terminali offline. Co ciekawe, ten akurat błąd dotyczy ponoć również kart Mastercard, ale tylko tych najstarszych. Bieżące generacje nie są nim dotknięte.