O vulnerabilitate din Apple Pay poate permite plăți fără deblocarea iPhone-ului, dar scenariul de abuz rămâne greu de pus în practică și afectează doar o combinație specifică de setări și carduri, potrivit Mobilissimo.

Problema este legată de funcția „Express Transit”, folosită pentru plăți rapide în transportul public, care permite achitarea fără Face ID sau cod PIN. O demonstrație realizată de YouTuberul Veritasium, în colaborare cu MKBHD, arată că pot fi efectuate plăți prin Apple Pay chiar dacă telefonul este blocat.

Cum ar funcționa atacul și de ce contează operațional

Conform explicațiilor din material, atacul presupune folosirea unui dispozitiv NFC modificat care interceptează comunicarea dintre iPhone și terminalul de plată. Datele sunt apoi redirecționate către un alt aparat care finalizează tranzacția la un sistem real de plată, „păcălind” telefonul că se află într-un context de transport public.

Din perspectiva utilizatorilor și a comercianților, miza este că un mecanism gândit pentru viteză (plată fără autentificare) poate deveni o suprafață de atac în anumite condiții, chiar dacă nu vorbim despre un scenariu ușor de replicat „din mers”.

Cine este afectat și cât de mare este riscul

Mobilissimo notează că riscul este considerat „foarte scăzut”, pentru că atacul funcționează doar dacă sunt îndeplinite mai multe condiții, inclusiv:

• funcția Express Transit este activată pe telefon;
• cardul asociat este Visa;
• este necesar contact fizic prelungit cu dispozitivul;
• atacul implică cel puțin două persoane care acționează coordonat.

Alte tipuri de carduri, precum Mastercard sau American Express, nu ar fi afectate, potrivit aceleiași surse. Vulnerabilitatea ar fi cunoscută încă din 2021, dar a fost considerată puțin relevantă în practică.

Ce protecție există în caz de tranzacții frauduloase

În eventualitatea unor tranzacții neautorizate, utilizatorii ar beneficia de protecția oferită de Visa, care „de regulă” permite recuperarea sumelor pierdute dacă incidentul este raportat la timp, mai arată materialul.