Investigadores en Inglaterra han señalado una falla que podría permitir a los piratas informáticos drenar el efectivo de los iPhones de forma remota si tienen una tarjeta bancaria Visa conectada para pagar en el “modo de tránsito exprés”, incluso si los dispositivos están bloqueados en ese momento.
Express Transit es una función de Apple Pay que permite a los viajeros realizar un pago rápido y sin contacto sin desbloquear su teléfono en los torniquetes y otras puertas de transporte público.
Los investigadores de la Universidad de Birmingham en Inglaterra y la Universidad de Surrey publicaron un video de dos minutos que demuestra cómo robar £ 1,000 ($ 1,347) con el truco.
Los investigadores utilizaron equipos de radio básicos para interferir con las señales que iban entre el iPhone y el lector de tarjetas, y lo engañaron haciéndole creer que estaba pagando el viaje, cuando en realidad estaba pagando en un lector de tarjetas separado.
“Nuestro trabajo muestra un claro ejemplo de una característica, destinada a hacer la vida más fácil, contraproducente e impactando negativamente la seguridad, con consecuencias financieras potencialmente graves para los usuarios”, dijo la Dra. Andreea Radu de la Universidad de Birmingham, quien dirigió la investigación.
“Nuestras discusiones con Apple y Visa revelaron que cuando dos partes de la industria tienen cada una parte de la culpa, ninguna está dispuesta a aceptar la responsabilidad e implementar una solución, dejando a los usuarios vulnerables indefinidamente”.
El coautor, el Dr. Tom Chothia, también de la Universidad de Birmingham, instó a los usuarios de iPhone a verificar si tienen una tarjeta Visa configurada para pagos en tránsito y a desactivarla si es así.
Si bien los investigadores pudieron explotar la vulnerabilidad en el laboratorio, no hay indicios de que los delincuentes la utilicen actualmente para robar dinero.
“Nos tomamos muy en serio cualquier amenaza a la seguridad de los usuarios. Esta es una preocupación con el sistema Visa, pero Visa no cree que este tipo de fraude pueda ocurrir en el mundo real dadas las múltiples capas de seguridad existentes ”, dijo un portavoz de Apple en un comunicado.
“En el improbable caso de que ocurra un pago no autorizado, Visa ha dejado en claro que los titulares de sus tarjetas están protegidos por la política de responsabilidad cero de Visa”.
Visa dijo que replicar el hack en el mundo real sería “poco práctico”, según un comunicado entregado a la BBC.
“Las tarjetas Visa conectadas a Apple Pay Express Transit son seguras y los titulares de tarjetas deben seguir usándolas con confianza”, dijo un representante de la firma de servicios financieros.
“Las variaciones de los esquemas de fraude sin contacto se han estudiado en entornos de laboratorio durante más de una década y han demostrado ser poco prácticas de ejecutar a escala en el mundo real”.
