Veritasium revela vulnerabilidade Visa no iPhone e “rouba” 10 000 dólares a MKBHD

Tecnicamente, é uma vulnerabilidade da Visa

O canal de YouTube Veritasium conseguiu “retirar” 10 000 dólares de um iPhone bloqueado do conhecido criador de conteúdos Marques Brownlee (MKBHD). A operação foi feita com autorização do próprio blogger, para ilustrar uma vulnerabilidade existente no iPhone - e, ao mesmo tempo, explicar de que forma o processo funciona.

O truque para simular um pagamento de transporte

O método não é linear: exige acesso físico ao equipamento e hardware específico. Ainda assim, o conceito base é fácil de resumir - trata-se de levar o iPhone a interpretar a transacção como se estivesse a pagar num terminal de transportes públicos.

O equipamento e o encadeamento da fraude via NFC

Na prática, o ataque recorre a um leitor de cartões NFC. Este dispositivo intercepta os dados que o iPhone troca com um terminal de pagamentos por aproximação durante uma compra.

O leitor usado pelos atacantes tem de estar ligado a um portátil, que recolhe as informações da transacção e as encaminha para um segundo telefone descartável. Depois, é esse telefone de uso único que é aproximado de um leitor de cartões legítimo. Além disso, o equipamento NFC precisa de ser configurado com o mesmo identificador de terminal de trânsito que o leitor legítimo.

Porque só funciona com Visa e apenas no iPhone

Este cenário só se torna viável quando o modo de transporte expresso está activado no iPhone e existe um cartão de pagamento associado - e, nesse caso, apenas um cartão Visa.

No essencial, trata-se mais de um problema da própria rede de pagamentos Visa, razão pela qual o ataque só funciona com cartões dessa bandeira. Ainda assim, tecnicamente, o alvo continua a ser o iPhone, e a abordagem não pode ser reproduzida noutros smartphones.

Posição da Visa

A Visa já se pronunciou, afirmando que, no mundo real, a execução é extremamente difícil. Acrescenta ainda que os utilizadores deste sistema estão protegidos pela política de responsabilidade zero da Visa.