Un fallo de seguridad del iPhone permite a un atacante cargar cualquier cobro a través de ApplePay

Investigadores de las universidades de Birmingham y Surrey (Reino Unido) han descubierto un fallo de seguridad que afecta al popular sistema de pagos contactlessApplePay, y a las tarjetas Visa que estén asociadas al mismo. Empleando un equipo de radiofrecuencias básico, los investigadores han podido realizar un cobro de 1.000 € en un iPhone sin necesidad de conocer la contraseña de usuario ni de acceder físicamente al terminal.

Según el medio Daily Mail, este fallo se produce cuando el usuario emplea ApplePay a través de un iPhone o iWatch con el “Modo de transporte exprés” activado. Esta es una opción de ApplePay para usuarios que quieren realizar pagos de forma rápida en viajes y desplazamientos en transporte público. Con el Modo de transporte exprés no es necesario activar, desbloquear el dispositivo o abrir una app para que se cargue un importe en la tarjeta asociada; y tampoco es necesario verificar la identidad de usuario con Face ID, Touch ID o un código.

Cómo se produce el hackeo de un iPhone con ApplePay

El equipo necesario para interferir con el iPhone y su sistema de pagos sin contacto es un equipo de radiofrecuencia sencillo. Éste puede interferir con la señal del lector de tarjetas contactless quecomunica con el iPhone y engañar a éste último para que crea que está pagando por un trayecto. Sin embargo, el pago se está realizando a otra tarjeta cercana.

Para llevar a cabo el engaño, los investigadores identificaron un código único que emite el lector y desbloquea el iPhone. De esta forma el iPhone cree estar comunicando con el dispositivo contactless de, por ejemplo, una barrera de paso en el metro cuando en realidad lo está haciendo con un datáfono como el de cualquier tienda comercial. Además, el sistema se salta cualquier límite de pago establecido en ApplePay para ese tipo de cobros.

Este fallo se produce solo cuando la tarjeta asociada a ApplePay es una Visa. El hackeo no se puede llevar a cabo si el iPhone está vinculado a una MasterCard o cualquier otra tarjeta que no sea Visa. En sentido opuesto, el fallo no se puede reproducir con sistemas de pago sin contacto de otros fabricantes, aunque estén asociados a una Visa. Es la combinación ApplePay + iPhone + Modo de transporte exprés la que deja la puerta abierta a un posible hackeo.

Apple se desentiende del problema y responsabiliza a VISA

¿Y qué piensan hacer Apple y Visa al respecto? No demasiado, según la doctora Andreea Radu de la Universidad de Birmingham quien afirma al Daily Mail que “nuestras conversaciones con Apple y Visa revelaron que cuando dos partes de la industria tienen cada una parte de la culpa, ninguna está dispuesta a aceptar la responsabilidad e implementar una solución, dejando a los usuarios vulnerables indefinidamente”.

Por su parte, un representante de Apple ha declarado que “nos tomamos muy en serio cualquier amenaza a la seguridad de los usuarios. Esto es una preocupación con un sistema de Visa, pero Visa no cree que este tipo de fraude sea probable en el mundo real dadas las múltiples capas de seguridad existentes”.

Y añade que “en el caso improbable de que se produzca un pago no autorizado, Visa ha dejado claro que sus titulares de tarjetas están protegidos por la política de responsabilidad cero de Visa”.

O en otras palabras. Si tienes una tarjeta Visa asociada a tu iPhone, quizás deberías revisar la configuración de ApplePay.