Samsung Pay Dính Lỗi Bảo Mật, Hacker Có Thể Làm Giả Thẻ Tín Dụng Để Mua Hàng

Chức năng thanh toán qua di động không tiếp xúc đang dần thành tiêu chuẩn trên các dòng smartphone Galaxy mới nhất của Samsung, nhưng có một hacker đã tìm ra cách để can thiệp vào các tín hiệu của họ.

Thượng tuần tháng 08/2016, trong một buổi thuyết trình tại Defcon, Salvador Mendoza đã trình diễn một số hình thức tấn công nhắm vào hệ thống Samsung Pay, cùng phản hồi của nhà sản xuất smartphone về việc đã nhận thức lỗ hổng, nhưng cho rằng những cuộc tấn công như vậy có tỷ lệ thành công là rất thấp.

Cuộc tấn công do Mendoza trình diễn tập trung vào việc can thiệp hoặc làm giả token thanh toán – các mã được tạo ra bởi smartphone để thay thế cho thông tin thẻ tín dụng. Các token được gửi từ thiết bị di động đến thiết bị thanh toán qua các giao dịch không dây. Chúng sẽ hết hạn trong vòng 24 giờ sau khi được tạo ra và chỉ được dùng một lần duy nhất. Mendoza đã chỉ ra một số kiểu tấn công nhắm vào mục tiêu này.

Theo kịch bản, một thiết bị đeo tay được sử dụng để đọc lướt qua các số token tạo ra bởi smartphone của người dùng. Người dùng cần phải xác thực một thanh toán qua di động, tuy nhiên, một hacker có thể đánh lừa người dùng bằng cách yêu cầu để họ thấy cách Samsung Pay hoạt động.

Trong bài thuyết trình, Mendoza cũng tuyên bố đã tìm ra các mô hình về cách thức tạo ra token của Samsung, cho phép kẻ tấn công có thể tự tạo ra token mới. Theo Mendoza, nếu một kẻ tấn công phân tích các token một cách cẩn thận, hắn có thể thực hiện một phương pháp đoán để làm được điều này.

Về phía Samsung, hãng đã bác bỏ phần trình bày của Mendoza, cho rằng: “Điều quan trọng cần lưu ý rằng Samsung Pay không sử dụng thuật toán như đã tuyên bố trong phần trình bày của hacker Black Hat trên để mã hóa thông tin thanh toán”. Tuy nhiên, Samsung cũng thừa nhận rằng trong một số tình huống nhất định, kẻ tấn công có thể đọc lướt số token thanh toán của người dùng và thực hiện việc mua hàng gian lận với thẻ của họ.

Công ty khẳng định tỷ lệ thành công của hành động gian lận này là rất thấp. Kẻ tấn công phải ở đủ gần với mục tiêu trong quá trình thực hiện việc mua hàng hợp lệ. Có nghĩa là kẻ tấn công phải chờ đợi  người dùng mua hàng ở một cửa hàng, can thiệp vào tín hiệu giữa smartphone và thiết bị thanh toán, đọc lướt qua số token trên điện thoại của họ, và sau đó sử dụng số token đó trước khi người dùng hoàn thành việc mua hàng như dự định.

Trang ZDNet cho biết, “mọi thẻ tín dụng, thẻ ghi nợ và thẻ trả trước từ bất kỳ ngân hàng liên kết nào” đều dễ bị tổn thương với cùng một cách tấn công tương tự. Dù quá trình là rất khó thực hiện, nhưng nó có thể đơn giản hơn nếu thiết lập một thiết bị thanh toán giả mạo ở ngay trong cửa hàng. Công ty cũng cho biết đã làm việc với hãng thanh toán, nhận định vấn đề là một “rủi ro chấp nhận được”.