Được công bố bởi một nhóm nghiên cứu từ Đại học ETH Zurich, một hình thức tấn công vượt qua xác thực mã PIN cho phép hacker lợi dụng thẻ tín dụng bị đánh cắp hoặc bị mất của nạn nhân để thực hiện các giao dịch có giá trị cao, mà không cần biết về mã PIN của thẻ và thậm chí lừa máy PoS chấp nhận giao dịch thẻ mà không xác thực.
Lỗ hổng này gây ảnh hưởng tới tất cả các thẻ sử dụng giao thức Visa, bao gồm thẻ Visa Credit, Visa Debit, Visa Electron và V Pay. Ngoài ra, các giao thức EMV được triển khai bởi Discover và UnionPay cũng có thể bị tấn công. Tuy nhiên, lỗ hổng không ảnh hưởng đến Mastercard, American Express và JCB.
Để khai thác, các nhà nghiên cứu sẽ tận dụng một lỗ hổng nghiêm trọng trong giao thức để tấn công MitM thông qua một ứng dụng Android có khả năng khiến thiết bị đầu cuối tin rằng không cần phải xác thực PIN bởi việc xác thực chủ thẻ đã được thực hiện trên thiết bị của người dùng.
Bắt nguồn từ thực tế là phương pháp xác minh Chủ thẻ (Cardholder verification method - CVM) không được bảo vệ trước các thay đổi. Qua đó, tin tặc có thể sửa đổi thông tin Card Transaction Qualifiers vốn được sử dụng để xác định hình thức kiểm tra CVM cần có cho giao dịch. Khi đó, máy PoS sẽ nhận được thông báo để bỏ qua bước xác minh mã PIN và rằng việc xác minh đã được thực hiện bằng thiết bị của chủ thẻ.
Cùng với đó, các nhà nghiên cứu đã phát hiện ra lỗ hổng thứ hai, liên quan đến các giao dịch ngoại tuyến được thực hiện bởi thẻ Visa hoặc thẻ Mastercard cũ. Lỗ hổng có thể cho phép kẻ tấn công thay đổi dữ liệu "Application Cryptogram" (AC) trước khi nó được chuyển đến thiết bị đầu cuối.
Thẻ ngoại tuyến thường được sử dụng để thanh toán trực tiếp cho hàng hóa và dịch vụ từ tài khoản ngân hàng của chủ thẻ mà không yêu cầu số PIN. Nhưng vì các giao dịch này không được kết nối với hệ thống trực tuyến nên có sự chậm trễ từ 24 đến 72 giờ trước khi ngân hàng xác nhận tính hợp pháp của giao dịch, bằng cách sử dụng mật mã và số tiền mua hàng được ghi nợ từ tài khoản. Tội phạm có thể lợi dụng cơ chế xử lý chậm trễ này để sử dụng thẻ hoàn thành một giao dịch ngoại tuyến và có giá trị thấp mà không bị tính phí.
Ngoài việc thông báo cho Visa về các lỗ hổng, các nhà nghiên cứu cũng đã đề xuất ba bản sửa lỗi phần mềm cho giao thức để ngăn chặn việc vượt qua xác thực mã PIN và tấn công ngoại tuyến, bao gồm sử dụng Xác thực dữ liệu động (Dynamic Data Authentication - DDA) để bảo mật các giao dịch trực tuyến có giá trị cao và yêu cầu sử dụng mật mã trực tuyến trong tất cả các thiết bị đầu cuối PoS, khiến các giao dịch ngoại tuyến được xử lý trực tuyến.
M.H
07:47 | 21/04/2017
17:00 | 02/07/2020
14:00 | 03/07/2020
14:00 | 05/07/2024
Một phân tích về hệ thống truy cập sinh trắc học lai (hybrid) của nhà sản xuất Trung Quốc ZKTeco đã phát hiện ra 24 lỗ hổng bảo mật có thể bị kẻ tấn công lạm dụng để vượt qua xác thực, đánh cắp dữ liệu sinh trắc học và thậm chí triển khai các backdoor độc hại.
14:00 | 02/07/2024
Các nhà nghiên cứu an ninh mạng đã đưa ra chi tiết về một lỗ hổng bảo mật hiện đã được vá ảnh hưởng đến nền tảng cơ sở hạ tầng trí tuệ nhân tạo (AI) nguồn mở Ollama có thể bị khai thác để thực thi mã từ xa (RCE).
16:00 | 20/06/2024
Một cuộc kiểm tra bảo mật mở rộng đối với QNAP QTS - hệ điều hành dành cho các sản phẩm NAS đã phát hiện 15 lỗ hổng với các mức độ nghiêm trọng khác nhau, trong đó có 11 lỗ hổng vẫn chưa được vá.
08:00 | 11/06/2024
Mới đây, các chuyên gia tại Zscaler (California) phát hiện ra hai ứng dụng có chứa mã độc Anatsa xuất hiện trên cửa hàng Google Play với tên gọi PDF Reader & File Manager và QR Reader & File Manager.
Cục Điều tra Liên bang Mỹ (FBI) mới đây đã đưa ra thông báo về sự cố gián đoạn cơ sở hạ tầng trực tuyến liên quan đến một nhóm tin tặc mã độc tống tiền mới nổi có tên là Dispossessor. Trong một nỗ lực nhằm giảm thiểu rủi ro do nhóm tội phạm này gây ra, FBI đã thu giữ 03 máy chủ tại Mỹ, 03 máy chủ tại Anh, 18 máy chủ tại Đức, 08 tên miền tại Mỹ và 01 tên miền tại Đức.
21:00 | 29/08/2024