Lỗ hổng trên Samsung Pay cho phép hacker làm giả thẻ tín dụng của người dùng để mua hàng

Thanh toán qua di động không tiếp xúc đang thành tiêu chuẩn trên các dòng smartphone Galaxy mới nhất của Samsung, nhưng một hacker đã tìm ra cách để can thiệp vào các tín hiệu của họ. Trong một buổi thuyết trình tại Defcon, Salvador Mendoza đã trình diễn một số hình thức tấn công nhắm vào hệ thống Samsung Pay, với phản hồi của nhà sản xuất smartphone rằng họ đã biết về lỗ hổng này, nhưng những cuộc tấn công như vậy “quá khó” để có thể thực hiện thành công.

Cuộc tấn công trình do Mendoza thể hiện tập trung vào việc can thiệp hoặc làm giả token thanh toán – các mã được tạo ra bởi smartphone của người dùng để thay thế cho thông tin thẻ tín dụng của họ. Các token này được gửi từ thiết bị di động đến thiết bị thanh toán qua các giao dịch không dây. Chúng sẽ hết hạn trong vòng 24h sau khi được tạo ra và chỉ được dùng một lần duy nhất.
 

Thiết bị đeo tay của Mendoza đang sao chép số token được gửi đi từ smartphone.

Mendoza đã chỉ ra một số kiểu tấn công nhắm vào mục tiêu này. Trong một kịch bản, một thiết bị đeo tay được sử dụng để đọc lướt qua các số token tạo ra bởi smartphone của người dùng. Việc này sẽ cần người dùng phải xác thực một thanh toán qua di động nhưng chưa hoàn thành, tuy nhiên Mendoza cho rằng một hacker có thể đánh lừa người dùng bằng cách yêu cầu để họ thấy cách Samsung Pay hoạt động.
 

Sử dụng một thiết bị tên là MagSpoof, hacker có thể sử dụng số token sao chép được để thanh toán.

Trong bài thuyết trình của mình, Mendoza cũng tuyên bố đã tìm ra các mô hình về cách thức tạo ra token của Samsung, cho phép một hacker, về lý thuyết, có thể tự tạo ra token mới cho riêng mình. Mendoza cho rằng điều này là có thể “Nếu một kẻ tấn công phân tích các token này một cách cẩn thận, hắn có thể thực hiện một phương pháp đoán để làm được điều này,” nhưng anh không nói mình sẽ tự tạo bất kỳ số token giả mạo nào cho riêng mình.

Trong bài đăng trên blog của mình, Samsung bác bỏ phần trình bày của Mendoza, cho rằng: “Điều quan trọng cần lưu ý rằng Samsung Pay không sử dụng thuật toán như đã tuyên bố trong phần trình bày của hacker Black Hat trên để mã hóa thông tin thanh toán.” Tuy nhiên, trong bản các câu hỏi thường gặp, công ty cũng thừa nhận rằng trong một số tình huống nhất định, một kẻ tấn công có thể đọc lướt số token thanh toán của người dùng và thực hiện việc mua hàng gian lận với thẻ của họ.
 

Thực hiện thành công việc thanh toán trong một máy mua hàng tự động ở cửa hàng tạp hóa.

Như Samsung mô tả nó, điều khó khăn là, kẻ tấn công phải ở đủ gần với mục tiêu trong khi họ thực hiện việc mua hàng hợp lệ. Điều này cũng có nghĩa rằng, kẻ tấn công phải đợi ai đó mua hàng ở một cửa hàng, can thiệp vào tín hiệu giữa smartphone và thiết bị thanh toán, đọc lướt qua số token trên điện thoại của họ, và sau đó sử dụng số token đó trước khi người dùng hoàn thành việc mua hàng như dự định.

Samsung cho rằng quá trình này “quá khó” để thực hiện, nhưng nó có thể đơn giản hơn nếu chúng thiết lập một thiết bị thanh toán giả mạo ở ngay trong cửa hàng.

Công ty điện thoại này cũng cho biết họ và hãng thanh toán đang làm việc với nhau, và cho rằng vấn đề này là một “rủi ro chấp nhận được”, và nếu việc đánh giá của họ là đúng, chắc chắn phương pháp tấn công này sẽ không nguy hiểm hơn so với các phương pháp gian lận thẻ tín dụng khác.

Mendoza nói với trang ZDNet rằng “mọi thẻ tín dụng, thẻ ghi nợ và thẻ trả trước từ bất kỳ ngân hàng liên kết nào” đều dễ bị tổn thương với cùng một cách tấn công như vậy. Cho dù vậy, điều này không có nghĩa là nó không phải một sai lầm. Sau tất cả, điểm quan trọng của việc tạo ra các hệ thống thanh toán mới là gì nếu họ chỉ đơn giản lặp lại các lỗ hổng của những hệ thống cũ?