יש לכם אייפון? האקרים יכולים לגנוב מכם אלפי שקלים מבלי שתדעו

ניסוי אבטחה חדש שבוצע בשיתוף עם חוקרים מאוניברסיטת סארי והיוטיובר מרקז בראונלי (MKBHD) חשף כשל מדאיג בשירות התשלומים של אפל (Apple). החוקרים הצליחו למשוך 10,000 דולר ממכשיר אייפון נעול לחלוטין, מבלי להשתמש ב-FaceID או בקוד סודי. הפרצה מתבססת על שילוב בין תכונת ה-"Express Transit" של אפל לבין פרוטוקול התשלומים של כרטיסי ויזה.

שיטת הפעולה של ההאקרים

המתקפה מנצלת את מנגנון ה"נסיעה מהירה", שנועד לאפשר תשלום בתחבורה ציבורית ללא אימות ביומטרי כדי למנוע תורים. החוקרים השתמשו במכשיר NFC פשוט שפועל בשיטת "אדם באמצע", אשר מזייף עבור האייפון אות של מסוף רכבת תחתית. הטלפון, ש"בטוח" כי מדובר בתשלום נסיעה זול, משחרר את האישור ללא צורך במגע מצד המשתמש.

מחברים אתכם לטכנולוגיה. עכשיו יותר מתמיד.

האפליקציה הרשמית של The Verifier

בשלב השני, התוקפים מיירטים את התקשורת ומשנים את נתוני העסקה בזמן אמת. בעוד שהמכשיר מאשר עסקה קטנה, מסוף התשלום מקבל אישור על רכישה בסך אלפי דולרים. הכשל המרכזי נמצא במערכת של ויזה, שאינה דורשת אימות חתימה נוסף כאשר המסוף נמצא במצב מקוון, בניגוד למתחרות כמו מאסטרקארד.

תגובת החברות והסיכון למשתמשים

למרות שהמידע על הפרצה פורסם כבר ב-2021, חברות הענק טרם הציגו פתרון טכני סופי. אפל טוענת כי האחריות היא על ויזה, ואילו ויזה מבהירה כי המשתמשים מוגנים על ידי מדיניות "אפס אחריות" שתחזיר להם את הכסף במקרה של הונאה. עם זאת, המומחים מדגישים כי הנזק המיידי והבירוקרטיה הכרוכה בהחזרת הכסף מהווים נטל כבד על הקורבנות.

עבור משתמשים המעוניינים להבטיח שדבר כזה לא יקרה, ההמלצה כרגע היא לבטל את הגדרת ה-"Express Transit" ביישום ה-Wallet, במיוחד אם מוגדר בו כרטיס של חברת ויזה.