Το πανεπιστήμιο του Νιουκάστλ στη Βρετανία ανακάλυψε πως στις νέες contactless πιστωτικές κάρτες, υπάρχει ένα τεράστιο κενό ασφαλείας αφού επιτρέπουν αγορές χωρίς να χρειάζεται το PIN, με απλά ένα «πλησίασμα» στο ειδικό μηχανάκι.  

 

Συγκεκριμένα σε κάρτες VISA επιτρέπονται οι αγορές με απεριόριστο κόστος χωρίς να απαιτήσουν PIN όταν η αγορά γίνεται σε διαφορετικό νόμισμα από αυτό της κάρτας.

Το κενό ασφαλείας μοιάζει να έχει τη ρίζα του στη δυνατότητα αγορών χωρίς PIN με τις νέες πιστωτικές κάρτες για ποσά μέχρι 20 στερλίνες, καθώς το ειδικό τερματικό δεν πραγματοποιεί κανέναν online έλεγχο στα κεντρικά συστήματα της τράπεζας.

Οι ερευνητές του Πανεπιστημίου, χρησιμοποιώντας αυτό το κενό ασφαλείας, δημιούργησαν ένα «μαϊμού» τερματικό ανάγνωσης καρτών χρησιμοποιώντας απλά ένα κινητό τηλέφωνο με ειδικό τσιπάκι και κατάφεραν να αδειάσουν πιστωτικές κάρτες «ανύποπτων» συμφοιτητών τους ενώ αυτές βρίσκονταν μέσα στο πορτοφόλι τους!

Η συγκεκριμένη ανακάλυψη που σίγουρα γνωρίζουν και οι χάκερς της αγοράς, έχει δύο σκέλη.

Αρχικά επιτρέπει την ανάγνωση και χρέωση της κάρτας ενώ είναι μέσα στο πορτοφόλι και το σακάκι σας αφού οι συναλλαγές μέχρι 20 Στερλίνες ή Ευρώ γίνονται χωρίς την ανάγκη έγκρισης από την τράπεζα, άρα offline.

Σε συνδυασμό όμως με το bug που επιτρέπει τη χρέωση οποιουδήποτε ποσού στην κάρτα, πάλι χωρίς έγκριση, όταν η αγορά γίνεται σε διαφορετικό νόμισμα από το επίσημα δηλωμένο στην κάρτα,  επιτρέπει όχι απλά μικρές αγορές αλλά το άδειασμα των λογαριασμών σας!

Η ομάδα φοιτητών του Βρετανικού Πανεπιστημίου, δημοσιοποίησε τα αποτελέσματα της έρευνάς της στο 21ο Συνέδριο Ασφάλειας Υπολογιστών και Δικτύων που γίνεται στην Αριζόνα των ΗΠΑ από τις 3 έως τις 7 Νοεμβρίου.