iPhone: Hata, dolandırıcıların Apple Pay aracılığıyla ödeme yapmasına olanak tanıyor

Akıllı telefonunuzla ödeme yapmak giderek daha popüler hale geliyor. Şaşılacak bir şey yok: Pratik, kullanımı kolay ve aynı zamanda çok güvenli. Aslında. Bununla birlikte, bir dizi boşluk, suçluların, kurbanlarının iPhone'larından, rızaları veya güvenlik sorgusu olmadan bile, Apple Pay aracılığıyla neredeyse sınırsız para çekmelerine olanak tanıyor. Aradaki farkın hala mevcut olmasının şaşırtıcı bir nedeni var.

Hack aslında beş yıl önce tanımlanmıştı ancak bilim konularında uzmanlaşmış YouTube kanalı Veritasium'un bir Habersu şu anda konuyu tekrar gündeme getiriyor. Klipte, sunucu Henry van Dyck, ünlü teknoloji YouTuber'ı Marques Brownlee'nin iPhone'undan, cihaz kilitli olmasına rağmen önce beş, sonra da muazzam bir 10.000 dolar kesmeyi başarıyor. Normalde çok kontrollü olan YouTube yıldızı “Bu kötü” diye hayretle bakıyor.

Saldırı birkaç unsurun birleşimiyle mümkündür. iPhone kısa süreliğine bir NFC okuyucuya bağlanır. Teknoloji, cihazların kısa mesafelerde bağlanmasına olanak tanıyor ve ödeme terminalleri de bu şekilde çalışıyor. Bu saldırıda NFC cihazı verileri bir dizüstü bilgisayara iletiyor. İkinci bir akıllı telefonla, sanki iPhone'unuzu doğrudan ona tutuyormuşsunuz gibi, gerçek bir ödeme terminalinde ödeme yapabilirsiniz. Öne çıkan nokta: Ödeme, iPhone'da herhangi bir güvenlik sorusu olmadan ve cihazın kilidi açık olmasa bile çalışır. Ayrıca üst sınır bulunmamaktadır. Birmingham Üniversitesi'nden Tom Chothia, “Hesabınızın izin verdiği kadar para çekebilirsiniz” diye açıklıyor. Yöntemi ilk olarak 2021 yılında meslektaşı Ioana Boureaunu ile anlattı.

Peki saldırı tam olarak nasıl çalışıyor? Her şeyden önce, tamamen meşru bir işlevden yararlanılıyor: Ekspres toplu taşıma kartı olarak adlandırılan kart, iPhone'u toplu taşımada güvenlik kontrolü olmadan ödeme yapmak için kullanmanıza olanak tanıyor. Bunun pratik bir faydası var: Pil boş olsa bile metroya binebilirsiniz. Saldırı bundan yararlanıyor: Dizüstü bilgisayara bağlı terminal, iPhone'a yerel bir ulaşım terminali olduğunu bildiriyor ve böylece ödeme onayını kod biçiminde alıyor. Bu, dizüstü bilgisayarda işlenir ve diğer akıllı telefona aktarılır. Ve sonra tamamen farklı bir ödeme yapılır.

Toplu taşıma terminallerinin kodunun oldukça basit olması nedeniyle bu mümkündür. Sadece iki rakamı değiştirerek, ödeme sürecini aniden düzenli ödemeler için de çalışacak şekilde değiştirebilirsiniz ve küçük miktarlara yönelik limit de devre dışı bırakılır. Bir sonraki adımda, akıllı telefonun daha büyük bir tutarın ödenmesini onayladığını gösteren bir sinyal kurulur ve bu da gerçek ödeme terminalini karşılar. Ve toplu taşıma okuyucusu olduğu iddia edilen kişiye yapılan kısa bir dokunuş, neredeyse her miktarda ödemeye dönüştü.

Saldırının olası pratik kullanımını açıklayan Chothia, “Cebinizdeki iPhone'a kısa bir süre tutarsanız bunu kullanabilirsiniz” diyor. “Fakat elbette en büyük risk, kaybolan veya çalınan bir iPhone'a fiziksel erişiminizin olması.” O zaman teorik olarak tüm cihazı yağmalayabilirsiniz. Chothia, “Onunla bir araba satın alabilirsin” diyor. Bu özellikle çarpıcı çünkü ekspres toplu taşıma kartı, Apple'ın cüzdanına uyumlu bir ödeme kartı eklendiğinde otomatik olarak etkinleştiriliyor.

Hack'in yalnızca iPhone'da işe yaraması, Apple'ın Express kartı uygulaması nedeniyledir. iPhone, borcun belirli değerini yüksek veya düşük olarak değerlendirmek yerine, terminal tarafından sağlanan bilgilere güvenir. Diğer akıllı telefonlar da miktarı kontrol ediyor. Ancak iPhone'daki her kart da etkilenmedi: Saldırı yalnızca Visa kredi kartlarında çalışıyor çünkü mevcut bir çevrimiçi bağlantı varsa, bunlar rakip Mastercard tarafından gerçekleştirilen gibi ek bir güvenlik kontrolü gerektirmiyor.

Bu aynı zamanda boşluktan neden ilk keşfedilmesinden beş yıl sonra bile yararlanılabileceğini de açıklıyor. Apple, ödemenin doğrulanmasından Visa'nın sorumlu olduğunu belirtiyor. Görünüşe göre kredi kartı üreticisinin yaklaşımını değiştirmeye niyeti yok. Ve bunun çok makul bir açıklaması var: “Dolandırıcılık nedeniyle her 100 dolarlık ödeme için yalnızca 10 sent kaybediliyor. Şahsen yapılan ödemelerde – ki bu vakanın da dahil olduğu – bu sayı daha da düşüyor – dolandırıcılık kaybı başına 100 dolar başına iki sente” diye hesaplıyor bir şirket sözcüsü. Daha sık olsaydı bir şeyler yapılacağını garanti ediyor. Ancak Visa, etkilenenlerin irtibat kişisi olarak mevcut: “Böyle bir şey başarılı olursa, müşteriler parayı Visa'dan geri alabilirler.”

Bunu riske atmak istemiyorsanız ve sürekli kredi kartı faturanıza göz kulak olmak istemiyorsanız, ekspres işlevini kolayca kapatabilirsiniz – sonuçta bu yöntem zaten Almanya'nın yerel ulaşım sistemlerinde yaygın değildir. Bunu yapmak için ayarlarda “Ödeme ve Temassız”ı, ardından “Cüzdan ve Apple Pay”i ve ardından “Ekspres toplu taşıma kartı”nı açın. Zaten etkinleştirilmemişse, burada “Hiçbiri” seçeneğini seçmelisiniz. Hackleme artık mümkün değil.

Kaynaklar: Vertasium, BBC