פרצה הקשורה לאפשרות התשלום המהיר ב-אפל פיי ולכרטיסי ויזה, מאפשרת לגנוב סכומים גדולים מבעלי אייפון המשלמים בנגיעה גם מאייפון נעול, כך גילו חוקרי מדעי המחשב מאוניברסיטאות סארי ובירמינגהם שבבריטניה.
חולשת האבטחה קשורה לאפשרות התשלום המהיר (Express Transit) במעברים של תחבורה ציבורית, מהסוג המצוי באירופה ובארצות הברית, המאפשר לבעלי אייפון לשלם במגע על הנסיעה ברכבת ולעבור במהירות את המחסומים, תוך שהם מצמידים את האייפון למסוף תשלום הקבוע במחסום מבלי לפתוח את נעילת המכשיר. מערכת דומה בימים אלה כבר נמצאת בשלבי הטמעה ברכבת ישראל.
החוקרים באוניברסיטאות בבריטניה אמנם השתמשו בחשבונות הפרטיים שלהם, אבל הדיווח ב-BBC מתאר את התקיפה כך (חלקים מסוימים הושמטו בכוונה):
ציוד רדיו זעיר הזמין לרכישה המונח בקרבת האייפון גורם לסמארטפון לחשוב שהוא מתקשר עם מסוף של מחסום בתחבורה ציבורית.
במקביל, טלפון אנדרואיד, המריץ אפליקציה שפותחה על ידי החוקרים, מעבירה את המידע מה-"מחסום" המזויף למסוף תשלומי מגע אמיתי הנמצא בשליטת הפורצים.
בגלל שהאייפון סבור שהוא באינטראקציה עם מחסום תחבורה ציבורית, הדבר מאפשר לעקוף את נעילת המכשיר ולחייב את החשבון גם בסכומים גדולים – ללא צורך בהקשת קוד סודי, או אישור בטביעת אצבע או זיהוי פנים. בהדגמה שנערכה, החוקרים הדגימו כיצד הם מצליחים לחייב כרטיס ויזה המקושר ל-אפל פיי בסכום של 1000 ליש"ט (כ-4,300 שקלים) – ללא צורך בפתיחת הנעילה או אישור אנושי לתשלום.
לטענת החוקרים, מכשיר האנדרואיד ומסוף התשלומים, לא חייבים להיות בקרבת האייפון של הקורבן. "זה יכול להיעשות גם מיבשת אחרת, כל זמן שלאייפון יש חיבור לאינטרנט", אמרה ל-BBC לואנה בורינו מאוניברסיטת סארי. הדבר היחיד שצריך להיות בקרבת האייפון הוא ההתקן שמדמה מסוף תשלום של תחבורה ציבורית.
החוקרים אגב ממליצים לבעלי אייפון שבהם מקושר כרטיס ויזה ל-אפל פיי לתשלומים מהירים בתחבורה הציבורית ללא ביטול נעילה – לכבות את האפשרות הזו.
ויזה על התקיפה ב-אפל פיי: "לא מעשית"
מנגד, הפרצה המדוברת הודגמה רק בתנאי מעבדה ואין עדויות שהיא שימשה לגניבת כספים בעולם האמיתי. החוקרים שפנו לאפל ולויזה בעניין טוענים כי על אף שהחברות גילו עניין בחולשה האפשרית, הפרצה למיטב ידיעתם לא תוקנה.
ב-ויזה סבורים שהתקיפה המדוברת היא "לא מעשית". החברה הגיבה ל-BBC כי הם מתייחסים לכל איום אבטחה באופן רציני, אבל "כרטיסי ויזה המקושרים לתשלום המהיר בתחבורה ציבורית ב-אפל פיי הם מאובטחים, ומחזיקי כרטיסים יכולים להמשך להשתמש בהם ללא חשש".
"תרחישים שונים של הונאת תשלום בנגיעה נחקרו בתנאי מעבדה כבר למעלה מעשור, והוכחו כבלתי מעשיים לביצוע בקנה מידה רחב בעולם האמיתי", הוסיפו מוויזה.
כך למשל, סביר להניח שמערכות איתור ההונאה של ויזה יאתרו דפוסים לא שגרתיים של הוצאות, מה שלא קיים במעבדה, וכמובן, כל מי שמכשיר האייפון שלו נגנב או אבד, יכול למחוק אותו מרחוק ולחסום את אפשרות התשלום בעזרת האייפון.
אפל מסרה ל-BBC כי "אנחנו מתייחסים לכל איום לאבטחת המשתמשים בצורה רצינית. ישנו חשש מסוים עם מערכות ויזה, אבל ויזה לא מאמינים כי הונאה מסוג זה סביר שתתרחש בעולם האמיתי, בהתחשב בריבוי שכבות ההגנה".
יצויין שהחוקרים גם בדקו מערכות כמו סמסונג פיי וכרטיסי מאסטרקארד, אולם מצאו שאלה חסינים בפני סוג המתקפה הזה.
נהניתם מהקריאה? שמחים לשמוע.
בכתבה שזה עתה קראתם הושקעו שעות רבות של איסוף מידע, תחקיר, כתיבה, עריכה, גרפיקה, עיצוב, צילום ועריכת וידאו. “החיבור” מופק על ידי שורה של עיתונאים מקצועיים, שבשבילם עיתונות היא שליחות – אבל היא גם פרנסה ואנחנו רוצים לעבוד עבורכם, הקוראים.
התרומה שלכם (בעלות של כוס קפה) מבטיחה את קיומו של “החיבור” כמגזין עצמאי, אובייקטיבי, חופשי מתלות במפרסמים, ותאפשר לנו להביא לכם עוד סיפורים ומידע מעניין ומועיל, כל יום.
