Cientistas descobriram uma falha no sistema de segurança de alguns cartões de crédito

Os cartões bancários sem contacto são uma opção rápida e prática para pagar compras regulares. É essencial colocar seu cartão em uma máquina POS para cobrar uma taxa sem contato.

Pequenas quantidades podem ser carregadas de forma rápida e simples até, e as cartas são consideradas seguras porque um código de segurança é necessário para debitar grandes somas.

A maioria dessas transações é baseada no padrão EMV, que se aplica a mais 9 bilhões de cartas de baralho em todo o mundo. Embora tenha sido revisado várias vezes desde então, o algoritmo avançado tem uma série de vulnerabilidades que podem ser exploradas.

Com diferentes autoridades de segurança já descobrindo erros no procedimento habitual, cientistas em ETH Zurique introduziram agora mais um, grave lacuna de segurança.

Como uma etapa preliminar, O professor de segurança de dados David Basin colaborou com Ralf Sasse, um pesquisador sênior da Divisão de Ciência do Laptop, e Jorge Toro Pozo, um pós-doutorado no encontro da Bacia, projetar um manequim especialmente desenvolvido para que pudessem examinar as partes centrais do padrão EMV. Eles descobriram uma falha vital em um protocolo utilizado pela empresa de cartões bancários Visa.

Esta vulnerabilidade permite que fraudadores adquiram fundos de cartas de baralho que foram perdidas ou roubadas, embora as quantidades sejam supostamente validadas inserindo um código PIN.

Esta vulnerabilidade permite que os fraudadores acumulem pertences de cartas de baralho que foram perdidas ou roubadas, independentemente de as quantidades precisarem ser credenciadas inserindo um código PIN. A Toro coloca isso principalmente: “Para todas as expectativas e funções, o código PIN é ineficaz aqui.”

Corporações diferentes, semelhante ao Mastercard, Específico Americano, e JCB, não use o protocolo Visa idêntico, então essas cartas de baralho não serão afetadas pela brecha de segurança. Apesar disso, a falha pode se aplicar aos cartões de jogo emitidos pela Uncover e UnionPay, que usam um protocolo muito parecido com o da Visa.

Os analistas tiveram a opção de mostrar que é possível tirar vantagem da vulnerabilidade a seguir, independentemente de ser um ciclo genuinamente imprevisível. Eles inicialmente criaram um aplicativo Android e o instalaram em dois telefones celulares habilitados para NFC. Isto permitiu a 2 unidades para examinar dados do Cartão de crédito informações de chip e comércio com terminais de taxa. Inesperadamente, os analistas não precisaram evitar nenhum recurso de segurança específico na estrutura operacional do Android para instalar o aplicativo.

O primeiro telefone celular é usado para digitalizar os dados importantes do cartão de pagamento e transferi-los para o segundo telefone para obter fundos não aprovados de um cartão bancário de terceiros. O próximo telefone é então usado para debitar o valor no checkout, o mesmo número de titulares de cartão faz ultimamente. Como o aplicativo declara que o cliente é a pessoa autorizada do cartão bancário, o vendedor não percebe que a transação é fraudulenta. A questão central é que o aplicativo supera o sistema de segurança do cartão. Embora o valor ultrapasse o limite e exija confirmação do PIN, nenhum código é solicitado.

Utilizando seus cartões bancários em diversos pontos de venda, os pesquisadores conseguiram mostrar que o esquema de fraude funciona.

Toro diz, “A fraude funciona com cartões de débito e bancários emitidos em vários países e em moedas variadas.”

Cientistas já alertaram a Visa sobre a vulnerabilidade, ao mesmo tempo propondo uma resposta específica.

Percorrer explica, “Três ajustes precisam ser feitos no protocolo, que pode então ser instalado nos terminais de pagamento com a próxima atualização de software. Pode muito bem ser executado com o mínimo esforço. Não existe desejo de trocar as cartas de baralho, e todas as alterações se ajustam ao padrão EMV.”

Referência do diário:

1. Bacia et al. O padrão EMV: Quebrar, Reparar, Confirmar. arXiv:2006.08249 [cs.CR] arxiv.org/abs/2006.08249