VISA w iPhone kradzież bez odblokowywania!

Veritasium pokazuje, jak ukradł 10 000$ MKBHD. Ten hack jest znany od 2021 roku, jednak do tej pory nie został załatany. Zobaczcie na końcu, VP Visy tłumaczy się, dlaczego xD

[k_suchy]

W Stanach mało który bank pozwala ustawić limit na karcie debetowej, a jak już to tylko telefonicznie. Niektóre banki mają nadal autoryzację głosem (hello AI) i "hasło werbalne". Nie mówiąc już o czekach które współistnieją przy lotach w kosmos.

[reaction_c]

@k_suchy: dzięki za komentarz, bo to mnie właśnie zastanawiało. W filmie są dwie osoby, na których pokazali "kradzież" kasy na kwoty 10K i 5K. I jak to oglądałem, to się zastanawiałem czy nie mieli limitów ustawionych na kartach.

[Oleczek24]

@k_suchy: loty w kosmos to lata 60-te w historii ludzkości jakby co :D

[zurafff]

Huh, jutro będą mieli gorąco w Visa i w Apple.
Czym inna jest podatność, którą researcher potajemnie zgłosił właścicielom produktu, a czym inna jest podatność, wytłumaczona na kanale z regularną oglądalnością kilkunastu milionów.

Po upewnieniu się, że opłaty in-transit mam wyłączone otwieram paczkę czipsów…

[JaFranek]

@zurafff: Widać że nie oglądałeś filmu. Jedni i drudzy maja wywalone.

[uriel_ck]

Huh, jutro będą mieli gorąco w Visa i w Apple

@zurafff: ehhh, czasami zazdroszczę takiej naiwności.

[osetnik]

Visa ma to w głębokim poważaniu, i nie załatają dziury, mimo że byłoby to trywialne.

[kwanty]

Visa ma to w głębokim poważaniu, i nie załatają dziury, mimo że byłoby to trywialne.

@osetnik: Visa straty przerzuca na ubezpieczenie, ale jak to jest takie powszechne (iPhone + karta Visa) to wyroją się cwaniaczki które spróbują na tym szybko zarobić... i wtedy okaże się, że straty są tak duże, że będą musieli jednak zareagować.

[gl0wa]

@osetnik: oglądałem prawie cały i zrozumiałem na czym polega exploit.

Oczywiście tutaj nie miałem na myśli wymianę terminali, ale koordynację zmian w systemie że wszystkimi partnerami. Oczywiście to jest do zrobienia ale zakładam że cała operacja zdecydowanie nie byłaby trywialną i wiązała by się z kosztami. Pytanie czy nie większymi niż te związane z efektywnym wykorzystaniem tego exploitu.

Dla VISA ten przypadek to po prostu kolejna wykryta podatność, najwidoczniej o niezbyt

[OjciecMalwersant]

Visa i Mastercard nie mają czasu na takie bzdury. Teraz zajmują się tylko cenzurą i decydowaniem o tym, które produkty mogę kupić, a których nie mogę. Takie tam faszystowskie zapędy.

[editores]

@OjciecMalwersant: z MasterCard to nie działa.

[pomaranczowyogorek]

@OjciecMalwersant: teraz to gorąco maja bo unia chce ich odpowiednik stworzyć.

[swdmfan]

Co za dzban z tego VP Visa - zamiast podziękować i 'już wysłałem do wdrożenia poprawkę' to spox, prawdopodobieństwo 0,02% więc się nie liczy. Notabene jak on to wyliczył w ogóle? No i jeszcze oczywiście bujaj się sam z chargeback - o ile w ogóle uznają bo jestem w 99% przekonany, że odpowiedzą, że potwierdziłeś na telefonie to spadaj. Gość do zwolnienia, VISA do ukarania - pomarzyć można...

[fiaslnfilrangve]

prawdopodobieństwo 0,02% więc się nie liczy. Notabene jak on to wyliczył w ogóle?

@swdmfan: a co on od liczenia jest? Executives mają umieć walić dobrą ściemę. Oni nie są od rzetelnej roboty.

[Pshemaz]

@swdmfan: Łatanie takiego procesu oznaczałoby znaczący wzrost kosztów utrzymania infry, a co za tym idzie spadek premii. No i nie oszukujmy się - on mówi że to 0,02%, ale tylko wtedy gdyby 100% poszkodowanych by to zauważyło, zgłosiło i na koniec odzyskało pieniądze. Realnie to pewnie 0,002% a tu już dla nich gra nie jest warta świeczki. Więcej wydadzą na przygotowanie i wdrożenie zmiany niż na zwroty dla klientów. Oni

[SatoshiNakamoto]

TLDR:

Film pokazuje, że da się obciążyć zablokowanego iPhone’a płatnością przez Apple Pay/Express Transit, bez odblokowania telefonu, jeśli spełnione są konkretne warunki.

Najważniejsze punkty:

badacze

[Nielegalny]

tkownik potwierdził transakcję, choć tego nie zrobił,

atak działa tylko w specyficznej kombinacji: iPhone + karta Visa ustawiona jako karta transportowa,

podobny atak nie działa tak samo np. na Samsunga

@SatoshiNakamoto: Właśnie tego potrzebowałem!

[Pshemaz]

Mi w zeszłym roku z MasterCard ściągnęło trzy razy po 200pln. Sam zauważyłem to po jakimś czasie. Nie zadziałał żadny 'antyfraudowy' mechanizm banku. Ostatecznie pieniądze odzyskałem ale transakcję MasterCard autoryzował ¯\(ツ)/¯

[abcgggggggggggggggggggggggggggggggg]

nest bank w Polsce ściąga pin z płatności zbliżeniowych po każdej wypłacie z bankomatu xD Pani na infolinii nie umie określić czy to poprawia czy obniża bezpieczeństwo pieniędzy na rachunku.

[lazarus-x]

Prawda jest taka, że Visa i MasterCard mają luki, te znane i te, do których jeszcze ludzie nie dotarli "jeszcze". Zatrważające natomiast jest to, że takie błędy nie są traktowane jako "zero day" i naprawiane "od ręki". W dobie AI takie "błędy" będą szybko wykorzystane przez przestępców. Swoją drogą, wiele systemów z subskrypcjami zawiera dziury i wypływa dane naszych kart płatniczych. W ubiegłym roku ktoś w Nowym Jorku zrobił sobie zakup na

[krse]

@lazarus-x: wiesz jak dużo jest takich zdarzeń?
bardziej opłaca się wypłącić odszkodowanie niż komplikować życie wszystkim i łatać, a każda łatka wnosi nowe bugi, chyba ze bedzie czesto to cos sie zrobi

[lazarus-x]

@geronimo80: tak, wiem ale większosć ludzi tego nie wie (╥﹏╥)

[suszi]

TLDW: to działa z VISA, iPHONE i właczonym "szybkim płaceniem za transport publiczny" (bez odblokowania) - wystarczy sorawdzić dla wszystkich kart i to wyłączyc