Mutaxassis mobil to’lovlarni buzish usullarini tasvirlaydi.

Mutaxassis mobil to’lovlarni buzish usullarini tasvirlaydi.

Tadqiqotchi kontaktsiz to’lovlar paytida tokenlarni ushlab qolishning bir nechta usullarini tasvirlab berdi.

Fudan universiteti (Xitoy) mutaxassisi Chje Chjou ogohlantiradiki, smartfon bilan xaridlar uchun to’lov qilish mutlaqo xavflidir. Singapurda bo’lib o’tgan Black Hat Asia konferensiyasida nutq so’zlagan tadqiqotchi kontaktsiz to’lovlar paytida tokenlarni ushlab qolishning bir nechta usullarini tasvirlab berdi, deb xabar beradi The Register.

Chje Chjou tushuntirganidek, mobil to’lov texnologiyalarining ikkita kamchiligi bor: tokenlar shifrlanmagan va bitta tranzaksiyaga bog’lanmagan, bu ularni qayta ishlatish va/yoki ushlab qolishga moyil qiladi. Mobil to’lovni amalga oshirishda smartfon bir martalik tokenni yaratadi, u PoS terminaliga uzatiladi. To’lov serveri tokenni tekshirgandan so’ng, u endi qabul qilinmaydi. Maqsad – ushlab olingan tokenlarning PoS terminaliga uzatilishini va keyin katta tranzaksiyalar uchun ishlatilishini oldini olish. Bunga kartalardagi magnit chiziqlarni taqlid qila oladigan smartfonlar yordamida erishish mumkin. Bu MST (Magnetic Secure Transmission) texnologiyasi tufayli mumkin. Tadqiqotchining so’zlariga ko’ra, MST diapazoni bir necha santimetrga baholanmoqda, ammo u atigi 25 dollarga tushadigan tayyor tijorat qurilmalari (aniq qurilmalar oshkor qilinmagan) ikki metr masofada radio to’lqinlarini aniqlay olishini, signalni blokirovka qilishini va ishlatilmagan tokenlarni to’plashini aniqladi.

Ovozga asoslangan to’lovlar ham shunga o’xshash tarzda buzilishi mumkin. Ushbu to’lov formati ko’pincha savdo avtomatlarida qo’llaniladi va kodni yozib olish oson. Agar mashina tokenni tekshirish uchun simsiz ulanishdan foydalansa, signalni jammer bilan bloklash mumkin. Shu tarzda, tajovuzkor haqiqiy tokenni oladi.

Uchinchi hujum zararli dastur o’rnatilgan smartfondan foydalanishni o’z ichiga oladi. Kamerani faollashtirish orqali tajovuzkor to’lov uchun ishlatiladigan QR kodining PoS terminalining himoya qoplamasida aks etishini suratga olishi va uning konfiguratsiyasini o’zgartirishi, uni o’qib bo’lmaydigan holga keltirishi mumkin. Biroq, o’zgartirilmagan QR kod smartfonda qoladi. Ushbu usul, shuningdek, smartfondan smartfonga to’lovni amalga oshirishda jabrlanuvchining qurilmasini zararli dastur bilan yuqtiradigan zararli QR kodlarini yaratish uchun ham ishlatilishi mumkin.

Magnetic Secure Transmission – bu foydalanuvchilarga magnit chiziqli bank kartalarini qo’llab-quvvatlaydigan standart terminallarda kontaktsiz to’lovlarni amalga oshirish imkonini beruvchi texnologiya.