VISA、万事达卡非接触支付曝盗刷漏洞
陈拾九移动支付网2021/3/1 9:19:01

当地时间2月23日,瑞士苏黎世联邦理工学院表示,在去年9月发现了VISA信用卡安全漏洞,他们发现万事达卡也存在类似安全漏洞。

本质是中间人攻击

无PIN码支付,就是无密码支付,对于每个常用银行卡的人来说都不陌生。无论是在国内还是国外,使用信用卡进行小额支付时,都可以选择无密码支付,国内叫做小额免密免签支付,当进行大额支付时,为保证资金安全则需要使用密码进行支付。

这样的策略是再均衡了便捷和安全性得到的,哪怕持卡人丢失了信用卡,也不会蒙受重大损失。但是瑞士苏黎世联邦理工学院的研究人员发现的安全漏洞,让这个安全策略失效了。

研究人员称,成功攻击需要4个部分:2个安卓手机、一个特殊的App和一个VISA非接支付卡。安卓App需要安装在2个智能手机上,分别进行卡和POS机的模拟。

攻击的主要思路是POS机模拟器要求卡进行支付、修改交易细节,然后通过WiFi发送修改后的数据到第二个智能手机,进行无需提供PIN码的大额支付。因为攻击者已经修改了交易数据,所以无需输入PIN码。

研究人员分析称,攻击能够成功的原因是VISA无接触支付协议和EMV标准中的设计漏洞。攻击者利用这些漏洞可以对无接触支付交易中的数据进行修改,包括控制交易详情的域和卡所有者是否经过验证。

交易中的卡持有者验证方法既没有经过认证,也没有进行加密保护。攻击过程中会对卡的数据对象Card Transaction Qualifiers进行修改。

为什么漏洞会影响万事达卡?

据研究人表示,VISA信用卡漏洞是基于EMV标准的信用卡来发起攻击。EMV三个字母分别代表Europay、MasterCard与VISA,是制定该标准最初的三家公司,是国际金融业界对于智能支付卡与可使用芯片卡的POS终端机及自动柜员机(ATM)等所制定的标准。

也就是说,只要使用了这套标准的信用卡几乎都会受到这个漏洞的影响,但是在具体的攻击手段上有所区别。

针对万事达卡的攻击同样利用EMV标准里的安全漏洞,但是在攻击时,多加了一道步骤:混淆信用卡品牌。

在正常的信用卡使用过程中,终端除了会识别信用卡卡号之外,还会根据唯一可识别标识符来确定信用卡的品牌,然后接入到相应的清算网络当中,然后进行正常交易。

在攻击过程中,攻击者同样使用两台手机分别做POS机模拟和卡模拟。与VISA卡攻击不同在于,攻击者会通过程序操纵NFC(或Wi-Fi)通讯,混淆唯一可识别标识符,让模拟POS机的终端误认为是在进行VISA卡交易。

这样就形成了POS机终端执行VISA交易,而卡本身执行万事达卡交易,完成攻击。研究人员证实,有四家银行发行的信用卡和借记卡被攻破。

这样的攻击并不能轻易的做到,研究人员表示,在攻击前,攻击者必须能够访问被攻击的信用卡,在数据响应发送前对数据进行修改。

本文为作者授权发布,不代表移动支付网立场,转载请注明作者及来源,未按照规范转载者,移动支付网保留追究相应责任的权利。

展开全文
相关阅读
资讯查询取消