Theo một nhóm nghiên cứu được công bố bởi Đại học ETH Zurich, một loại tấn công vượt qua xác thực mã PIN cho phép hacker lợi dụng thẻ tín dụng bị đánh cắp hoặc bị mất của nạn nhân để thực hiện các giao dịch có giá trị cao mà không cần biết mã PIN của thẻ và thậm chí lừa máy PoS chấp nhận giao dịch thẻ mà không xác thực.
Tất cả các thẻ sử dụng giao thức Visa, bao gồm thẻ Visa Credit, Visa Debit, Visa Electron và V Pay, đều bị ảnh hưởng bởi lỗ hổng này. Ngoài ra, các giao thức EMV do Discover và UnionPay triển khai cũng có thể bị tấn công. Tuy nhiên, lỗ hổng không ảnh hưởng đến JCB, Mastercard và American Express.
Để khai thác, các nhà nghiên cứu sẽ tận dụng một lỗ hổng nghiêm trọng trong giao thức để tấn công MitM thông qua một ứng dụng Android có khả năng khiến thiết bị đầu cuối nghĩ rằng không cần phải xác thực PIN bởi vì việc xác thực chủ thẻ đã được thực hiện trên thiết bị của người dùng.
Bắt nguồn từ thực tế là phương pháp xác minh Chủ thẻ (Cardholder verification method - CVM) không được bảo vệ trước các thay đổi. Do đó, tin tặc có thể sửa đổi thông tin Card Transaction Qualifiers, được sử dụng để xác định hình thức kiểm tra CVM cần thiết cho giao dịch. Khi đó, máy PoS sẽ nhận được thông báo để bỏ qua bước xác minh mã PIN và rằng việc xác minh đã được thực hiện bằng thiết bị của chủ thẻ.
Các nhà nghiên cứu cũng tìm thấy lỗ hổng thứ hai liên quan đến các giao dịch ngoại tuyến được thực hiện bằng thẻ Visa hoặc thẻ Mastercard trước đó. Lỗ hổng có thể cho phép kẻ tấn công thay đổi dữ liệu "Application Cryptogram" (AC) trước khi nó được chuyển đến thiết bị đầu cuối.
Thẻ ngoại tuyến thường được sử dụng để thanh toán trực tiếp cho hàng hóa và dịch vụ từ tài khoản ngân hàng của chủ thẻ mà không cần số PIN. Tuy nhiên, do các giao dịch này không được kết nối với hệ thống trực tuyến nên có sự chậm trễ từ 24 đến 72 giờ trước khi ngân hàng xác nhận tính hợp pháp của giao dịch bằng cách sử dụng mật mã và số tiền mua hàng được ghi nợ từ tài khoản. Tội phạm có thể lợi dụng cơ chế xử lý chậm trễ này để sử dụng thẻ hoàn thành giao dịch ngoại tuyến và có giá trị thấp mà không bị tính phí.
Các nhà nghiên cứu đã đề xuất ba bản sửa lỗi phần mềm cho giao thức để ngăn chặn việc vượt qua xác thực mã PIN và tấn công ngoại tuyến, bao gồm sử dụng Xác thực dữ liệu động (Dynamic Data Authentication - DDA) để bảo mật các giao dịch trực tuyến có giá trị cao và yêu cầu sử dụng mật mã trực tuyến trong tất cả các thiết bị đầu cuối PoS, khiến các giao dịch ngoại tuyến được xử lý trực tuyến. Các nhà nghiên cứu cũng đã thông báo cho Visa về các lỗ hổng.
Theo An toàn Thông tin
Cập nhật tin tức công nghệ mới nhất tại fanpage Công nghệ & Cuộc sống