Bug no Apple Pay pode afetar cartões Visa cadastrados

Pesquisadores das universidades de Birmingham e Surrey, ambas no Reino Unido, descobriram uma falha de segurança no Apple Pay que pode permitir a realização de pagamentos não autorizados mesmo com o iPhone bloqueado. Conforme relatou a BBC nessa quarta-feira (29), o problema afeta apenas os cartões Visa cadastrados.

Simulando um ataque, especialistas dos departamentos de Ciência da Computação das instituições de ensino conseguiram fazer um pagamento fraudulento sem desbloquear o celular e autorizar a transação. Na ação, eles usaram um equipamento de rádio, um smartphone Android e um terminal de pagamento.

A vulnerabilidade em questão é limitada aos cartões Visa configurados na carteira virtual com a função Transporte Público Expresso, que permite fazer pagamentos sem contato com o iPhone bloqueado em lugares como estações de metrô. O rádio funcionou como o leitor da catraca, enquanto um app no celular Android transmitiu os dados para o terminal.

A vulnerabilidade permite realizar pagamentos ilimitados, resultando em grandes prejuízos.

De acordo com os pesquisadores, o ataque é possível “devido a uma combinação de falhas no sistema Apple Pay Visa”. O mesmo tipo de fraude não seria executada em cartões Mastercard nem em outras plataformas, como a carteira virtual da Samsung e o Google Pay, mesmo que nelas estivessem cadastrados os cartões da Visa.

Vulnerabilidade permanece ativa

Os responsáveis pela descoberta disseram ter relatado o bug à Maçã e à Visa “meses atrás”, mas nenhuma delas corrigiu a falha até agora. Eles afirmam que apesar do alto grau de complexidade técnica, ataques desse tipo podem se tornar um sério problema em alguns anos.

À publicação, a Apple explicou que a vulnerabilidade está no sistema Visa. Já a instituição financeira comentou que fraudes como essa são “impraticáveis” no mundo real e garantiu aos usuários a segurança da ferramenta.

Em um caso improvável de exploração do bug, a empresa reiterou que os portadores de cartões da bandeira estão protegidos pela política de responsabilidade zero da companhia.