Представители компании Samsung признали, что в бесконтактной мобильной платежной системе Samsung Pay имеется уязвимость, которую при определенных обстоятельствах можно использовать.
Исследователь информационной безопасности Сальвадор Мендоса, выступая на конференциях Black Hat и DEF CON, рассказал об уязвимости платежной системы к скиммингу и спуфингу. Чтобы обеспечить должный уровень защиты пользовательской информации, в Samsung Pay была внедрена система, генерирующая специальные токены, являющиеся заменой для номеров платежных карт. Генерация токенов происходит при совершении каждой новой транзакции. Исследователь утверждает, что уязвимость, которую он обнаружил, дает возможность осуществить перехват токена с помощью специального устройства.
По словам Мендосы, уязвимость находится в алгоритме для генерации трехзначных кодов, которые могут быть легко получены злоумышленниками, применяющими метод полного перебора. Таким образом, киберпреступник может осуществлять перехват токена, узнать правильный код для второй транзакции и с его помощью совершать покупки через аккаунт жертвы.
Исследователь в подтверждение своих слов опубликовал видеоролик с примером использования уязвимости.
В свою очередь, в Samsung сначала опровергли факт наличия проблемы, но затем признали, что указанный выше алгоритм генерации кодов транзакций действительно используется в платежной системе. Как утверждают представители компании, скимминг-атаку можно провести лишь если злоумышленник находится на очень небольшом расстоянии от жертвы.