安全专家展示拦截SamsungPay交易代码进行远端信用卡盗刷
报价宝综合消息安全专家展示拦截SamsungPay交易代码进行远端信用卡盗刷
图片来源:
Salvador Mendoza
Apple Pay、Samsung Pay等新式支付系统强调在手机端不储存信用卡号码而得以确保用户资料安全性，但真实的情况真是如此吗？上周在美国黑帽骇客大会上，安全研究人员展示Samsung Pay设计上的漏洞，导致用户的信用卡被骇客远端盗刷。
根据安全研究人员Salvador Mendoza指出，Samsung Pay的设计漏洞出现于其中使用的磁力安全传输技术（Magnetic Secure Transmission, MST）。此类技术将传统磁条卡读取机变成非接触式支付刷卡系统。利用Samsung Pay，使用者的手机不需储存信用卡号码，而是储存一组代码（token），以减少信用卡号码被窃的风险。
但这样的设计有个漏洞：Samsung Pay每开启、传输一次，就会回传一组新的代码，即使这组代码尚未被用来购物，但在一定期间内是有效的。骇客只要拦截Samsung Pay的代码，安装在第三方装置上，即可冒充手机主人刷信用卡。
安全研究人员展示在手臂上暗藏一个讯号拦截装置，利用社交工程技术，佯请使用者示范使用Samsung Pay时加以拦截，并取代代码以电子邮件寄出，之后再将该代码下载到自制或网络上也买得到的信用卡诈欺装置完成实作，即可在任何支援Samsung Pay的店家或自动贩卖机完成远端盗刷信用卡的目的。
研究人员指出，凡是有连结银行的信用卡、签账卡或预付卡都有被攻击的风险，但需要扫描的礼品卡则不受影响。
对此，三星未做正面回应，只表示Samsung Pay具备最进阶的安全功能，配合Samsung Knox安全平台，确保所有支付资讯经过加密及安全性，并强调如果Samsung如果有任何可能的漏洞，该公司都会立即投入调查并加以解决。
