Kontaktloses Bezahlen gehackt
Sicherheitslücke in Visas NFC-Zahlungsabwicklung
Fortsetzung des Artikels von Teil 1
Kontaktloser Diebstahl
Da es allerdings im Alltag zu auffällig wäre, wenn ein Kunde neben der Karte auch noch das Smartphone an das Terminal halten würde, sind in der Praxis zwei miteinander verbundene Smartphones nötig, um die Lücke auszunutzen. Beim Bezahlvorgang wird dem Kassierer Mobile Payment vorgespielt und das erste Smartphone an das Terminal gehalten. Währenddessen befindet sich das zweite zusammen mit der Visa-Karte für das Verkaufspersonal unsichtbar im Rucksack oder der Hosentasche. Gerät Nummer eins identifiziert sich am Terminal als Karte und leitet die ausgetauschten Transaktionsdaten direkt an Nummer zwei weiter. Dieses wiederum manipuliert den Datenstrom so, dass eine erfolgreiche Sicherheitsüberprüfung vorgegaukelt wird und sendet diese Daten dann über Gerät Nummer eins zurück ans Terminal, das somit auf die Abfrage der PIN verzichtet.
Wie die Wissenschaftler in der Praxis nachweisen konnten, lassen sich auf diesem Wege auch teurere Einkäufe als eigentlich erlaubt ohne weitere Überprüfung tätigen. Somit könnten Diebe den Trick etwa nutzen, um geklaute Kreditkarten bis zu deren Limit leerzuräumen. Aber auch andere Szenarien sind damit theoretisch möglich. So könnte etwa ein Angreifer mit Smartphone Nummer eins an der Kasse bezahlen, während ein Komplize Gerät Nummer zwei an die Hosentasche eines ahnungslosen Opfers hält, dessen Kreditkarte dann mit dem Einkauf belastet wird. Damit die Lücke nicht ausgenutzt werden kann, haben die Forscher nach eigenen Angaben auch direkt einen Fix für das Problem erarbeitet, mit dem ein Austausch der Karten vermieden werden kann.
Allerdings rückt der Fall auch die grundsätzliche Haftungsfrage in den Fokus. Immerhin übergeben die Banken aufgrund der vermeintlichen Absicherung über den zweiten Faktor die Haftung für über die Kleinbeträge hinausgehende Missbräuche an die Kunden. Wenn aber, wie in diesem Fall, die zusätzliche Sicherheitsprüfung aufgrund systematischer Schwächen komplett ausgehebelt werden kann, ist damit gleichzeitig auch diese Argumentation der Banken nichtig.
- Sicherheitslücke in Visas NFC-Zahlungsabwicklung
- Kontaktloser Diebstahl
Lesen Sie mehr zum Thema
