Los hackers pueden evadir el límite de gasto de 30 Libras en las tarjetas sin contacto Visa al aprovechar una serie de fallas de seguridad.

 

Según expertos en seguridad de la empresa Positive Technologies, los defectos permiten a los ciberdelincuentes comprometer los límites de verificación en el 100 por ciento de los casos probados y robar cuentas.

 

Al probar el ataque con cinco de los bancos más importantes del Reino Unido, Leigh-Anne Galloway y Tim Yunusov no solo pudieron eludir el límite de verificación "independientemente del terminal de la tarjeta", sino que descubrieron que el ataque también es posible en tarjetas y terminales extranjeros.

 

Positive Technologies calificó estos hallazgos como significativos, señalando que "los límites de verificación de pagos sin contacto se utilizan para proteger contra pérdidas fraudulentas".

 

Para evitar el límite de gasto de 30 Libras, los atacantes deben manipular los campos de datos intercambiados entre la tarjeta y el terminal simultáneamente cuando se realiza la transacción.

 

"En el Reino Unido predominantemente si el pago necesita una verificación adicional del titular de la tarjeta (que se requiere para pagos superiores a 30 Libras en el Reino Unido), las tarjetas responderán 'no puedo hacer eso', lo que evitaría que se realicen pagos por encima de este límite". explicó la firma.

 

"En segundo lugar, el terminal utiliza configuraciones específicas del país, que exigen que la tarjeta o la billetera móvil proporcionen una verificación adicional del titular de la tarjeta, tales como la entrada de un PIN en el caso de la tarjeta o la autenticación mediante huellas dactilares en el teléfono".

 

No obstante, los investigadores descubrieron que los ciberdelincuentes pueden eludir estos controles mediante el uso de un dispositivo que "intercepta la comunicación entre la tarjeta y el terminal de pago". Dijeron que "actúa como un proxy y es una práctica de fraude conocida como el ataque man-in-the-middle (MITM)".

Para ampliar el alcance potencial de los ataques, los hackers también pueden usar billeteras móviles como GPay para tomar el control de las tarjetas Visa y usarlas cuando el teléfono aún está desbloqueado.

 

La firma dijo que el descubrimiento "resalta la importancia de reforzar la seguridad adicional del banco emisor", y agregó que "los emisores deben tener sus propias medidas para detectar y bloquear este vector de ataque y otros ataques de pagos contactless".

 

Tim Yunusov, jefe de seguridad bancaria de Positive Technologies, dijo: "La industria de pagos cree que los pagos sin contacto están protegidos por las salvaguardas que han establecido, pero el hecho es que el fraude en pagos sin contacto está aumentando.

 

"Si bien se trata de un tipo de fraude relativamente nuevo que podría no ser la prioridad número uno para los bancos en este momento, si los límites de verificación de pagos sin contacto pueden pasarse por alto fácilmente significaría que podríamos ver pérdidas más perjudiciales para los bancos y sus clientes".

 

Leigh-Anne Galloway, jefa de resiliencia de seguridad cibernética de Positive Technologies, agregó: "si bien algunas terminales tienen controles aleatorios, estos deben ser programados por el comerciante, por lo que todo depende de su criterio.

 

"Debido a esto, podemos esperar ver que el fraude sin contacto continúe aumentando. Los emisores deben ser mejores y reforzar sus propias reglas sobre contactless para mejorar el estándar de la industria".

 

Fuente: En base a Forbes