Turvallisena pidetystä iPhonen Express Transit -lähimaksutoiminnosta löytyi haavoittuvuus, jolla tietoturvatutkijoiden mukaan saisi lukitun iPhonen suorittamaan jopa yli tuhannen euron maksun.
Muun muassa The Telegraphin esittelemä menetelmä edellyttää, että hakkerilla olisi uhrin puhelin fyysisesti hallussaan, 9to5Mac kirjoittaa.
Haavoittuvuus koskee Apple Pay -maksupalvelun Express Transit -toimintoa, joka mahdollistaa kätevät pikamaksut julkisessa liikenteessä. Applen sivujen mukaan Suomessa Apple Payn pikamatkatilaa hyödyntää Turun seudun joukkoliikenne eli Föli.
9to5Macin mukaan Express Transitia käytetään esimerkiksi Lontoon metrossa, jonka asemien porteista kulkeminen hoitaa maksun puhelimen kautta automaattisesti, ilman sormenjälki- tai kasvojentunnistusta. Tunnistautumisen puute on koettu hyväksyttäväksi riskiksi, sillä palveluun on asetettu raja sekä yksittäisille transaktioille että päivittäisten maksujen summalle.
Tietoturvatutkijat ovat kuitenkin nyt osoittaneet, että osaava hakkeri voi luoda joukkoliikenteen maksupäätteitä jäljittelevän päätteen, joka mahdollistaa Express Transit -toiminnallisuuden aktivoimisen ilman maksurajoja. Tutkijat onnistuivatkin tekemään lukitusta iPhonesta 1000 punnan (noin 1168 euron) siirron ilman minkäänlaista tunnistautumista.
Applen mukaan haavoittuvuuden syy on Visan järjestelmissä – muiden yhtiöiden kortteja aukko ei koske. Apple muistuttaa myös, että Visan ”zero liability” -käytäntö vapauttaa kortinhaltijan vastuusta tapauksissa, joissa tililtä on tehty luvattomia veloituksia.
– Lähimaksamiseen liittyviä huijauksia on tutkittu laboratorio-olosuhteissa yli vuosikymmenen ajan, ja niiden skaalaaminen oikeassa maailmassa toteutettaviksi on osoittautunut epäkäytännölliseksi, Visa toteaa.