Apple Pay: Sicherheitslücke erlaubt Abbuchung ohne Nutzer-Bestätigung

Eine Schwachstelle in einer Bezahlfunktion des iPhones ermöglicht es Angreifern, Geldbeträge von gesperrten Geräten abzubuchen. Der Trick nutzt eine Lücke bei kontaktlosen Zahlungen im ÖPNV. Vor allem deutsche Nutzer müssen aber kaum um ihr Geld fürchten.

Theoretische Schwachstelle im Expressmodus

YouTuber haben aufgezeigt, wie sich hohe Geldbeträge von einem gesperrten iPhone abbuchen lassen. Der Angriff zielt auf die Apple-Pay-Funktion Express Transit für den öffentlichen Nahverkehr ab. Ein modifiziertes NFC-Lesegerät fängt dabei die Kommunikation zwischen dem Smartphone und einem Bezahlterminal ab.

Die Angreifer leiten die Daten an ein zweites Gerät weiter, das die eigentliche Transaktion an einem echten Kassensystem ausführt. So lassen sich Teile der üblichen Sicherheitsmechanismen für kontaktlose Zahlungen umgehen. Das Lesegerät spiegelt dem iPhone außerdem vor, es befinde sich an einem Drehkreuz im Nahverkehr. Dadurch ist keine Entsperrung per FaceID oder PIN-Code erforderlich.

Bedingungen für den Diebstahl

Wie der Kanal Veritasium in seinem YouTube-Video demonstriert, müssen für einen erfolgreichen Angriff jedoch äußerst unwahrscheinlich auftretende Umstände zusammenkommen. In einem Testaufbau gelang es den Akteuren dann allerdings, 10.000 US-Dollar (etwa 8463 Euro) von dem gesperrten Gerät des Technik-Reviewers Marques Brownlee zu transferieren.

Das Risiko für Endanwender im Alltag ist allerdings als sehr gering einzustufen. Der Diebstahl funktioniert ausschließlich, wenn im Apple Wallet eine Karte des Anbieters Visa für den Schnellmodus im ÖPNV hinterlegt ist. Bei anderen Anbietern wie Mastercard oder American Express greift der Trick nicht, da sie andere Verschlüsselungsprotokolle verwenden.

Auf YouTube ansehen
Zudem setzt das Vorgehen einen längeren physischen Kontakt mit dem Smartphone voraus. Ein kurzes Streifen der Hosentasche reicht für den Datenaustausch nicht aus. Ein Komplize muss zeitgleich zudem ein echtes Kassenterminal bedienen

Sicherheitslücke schon länger bekannt

Die zugrunde liegende Schwachstelle ist in der IT-Sicherheitsforschung bereits seit dem Jahr 2021 dokumentiert. Apple und Visa haben das Problem damals geprüft, es aber mangels Relevanz in der Praxis nicht geschlossen.

Visa selbst stuft die Wahrscheinlichkeit eines solchen Betrugs als extrem gering ein. Sollte es dennoch zu unrechtmäßigen Abbuchungen kommen, greift offiziellen Angaben zufolge der Null-Haftungs-Schutz des Unternehmens. Kunden erhalten ihr Geld in der Regel unkompliziert zurück, solange sie den Vorfall zeitnah melden.

Hattet ihr schon einmal Probleme mit dem kontaktlosen Bezahlen per Smartphone? Wurden euch schon einmal unrechtmäßig Beträge abgebucht? Teilt eure Erfahrungen in den Kommentaren mit uns!


Siehe auch: