Apple Pay: Sicherheitsl�cke erlaubt Abbuchung ohne Nutzer-Best�tigung

Eine Schwachstelle in einer Bezahlfunktion des iPhones erm�glicht es Angreifern, Geldbetr�ge von gesperrten Ger�ten abzubuchen. Der Trick nutzt eine L�cke bei kontaktlosen Zahlungen im �PNV. Vor allem deutsche Nutzer m�ssen aber kaum um ihr Geld f�rchten.

Theoretische Schwachstelle im Expressmodus

YouTuber haben aufgezeigt, wie sich hohe Geldbetr�ge von einem gesperrten iPhone abbuchen lassen. Der Angriff zielt auf die Apple-Pay-Funktion Express Transit f�r den �ffentlichen Nahverkehr ab. Ein modifiziertes NFC-Leseger�t f�ngt dabei die Kommunikation zwischen dem Smartphone und einem Bezahlterminal ab.

Die Angreifer leiten die Daten an ein zweites Ger�t weiter, das die eigentliche Transaktion an einem echten Kassensystem ausf�hrt. So lassen sich Teile der �blichen Sicherheitsmechanismen f�r kontaktlose Zahlungen umgehen. Das Leseger�t spiegelt dem iPhone au�erdem vor, es befinde sich an einem Drehkreuz im Nahverkehr. Dadurch ist keine Entsperrung per FaceID oder PIN-Code erforderlich.

Bedingungen f�r den Diebstahl

Wie der Kanal Veritasium in seinem YouTube-Video demonstriert, m�ssen f�r einen erfolgreichen Angriff jedoch �u�erst unwahrscheinlich auftretende Umst�nde zusammenkommen. In einem Testaufbau gelang es den Akteuren dann allerdings, 10.000 US-Dollar (etwa 8463 Euro) von dem gesperrten Ger�t des Technik-Reviewers Marques Brownlee zu transferieren.

Das Risiko f�r Endanwender im Alltag ist allerdings als sehr gering einzustufen. Der Diebstahl funktioniert ausschlie�lich, wenn im Apple Wallet eine Karte des Anbieters Visa f�r den Schnellmodus im �PNV hinterlegt ist. Bei anderen Anbietern wie Mastercard oder American Express greift der Trick nicht, da sie andere Verschl�sselungsprotokolle verwenden.

Auf YouTube ansehen
Zudem setzt das Vorgehen einen l�ngeren physischen Kontakt mit dem Smartphone voraus. Ein kurzes Streifen der Hosentasche reicht f�r den Datenaustausch nicht aus. Ein Komplize muss zeitgleich zudem ein echtes Kassenterminal bedienen

Sicherheitsl�cke schon l�nger bekannt

Die zugrunde liegende Schwachstelle ist in der IT-Sicherheitsforschung bereits seit dem Jahr 2021 dokumentiert. Apple und Visa haben das Problem damals gepr�ft, es aber mangels Relevanz in der Praxis nicht geschlossen.

Visa selbst stuft die Wahrscheinlichkeit eines solchen Betrugs als extrem gering ein. Sollte es dennoch zu unrechtm��igen Abbuchungen kommen, greift offiziellen Angaben zufolge der Null-Haftungs-Schutz des Unternehmens. Kunden erhalten ihr Geld in der Regel unkompliziert zur�ck, solange sie den Vorfall zeitnah melden.

Hattet ihr schon einmal Probleme mit dem kontaktlosen Bezahlen per Smartphone? Wurden euch schon einmal unrechtm��ig Betr�ge abgebucht? Teilt eure Erfahrungen in den Kommentaren mit uns!


Siehe auch: