Баги Apple Pay, Samsung Pay и Google Pay позволяют тратить деньги жертв

Баги Apple Pay, Samsung Pay и Google Pay позволяют тратить деньги жертв

Баги Apple Pay, Samsung Pay и Google Pay позволяют тратить деньги жертв

На знаменитой конференции Black Hat Europe специалисты компании Positive Technologies рассказали о выявленных уязвимостях в системах мобильных платежей Apple Pay, Samsung Pay и Google Pay. По словам Тимура Юнусова, бреши позволяют тратить неограниченное количество средств с помощью украденных смартфонов.

Есть одно условие, на которое обращают внимание эксперты, — на устройствах должны быть активированы режимы оплаты общественного транспорта, при использовании которых не требуется разблокировка девайсов.

Речь идёт о функции public transport schemes или «режим транспортной экспресс-карты». До введения этого режима в эксплуатацию Apple Pay и Samsung Pay не позволяли оплачивать услуги без разблокировки смартфона.

Как отметил Тимур Юнусов из Positive Technologies, активация транспортной карты подразумевает использование смартфона для оплаты без аутентификации и, что ещё важнее, в любом регионе. Другими словами, украденный девайс не будет привязан к конкретной местности и не потребует для оплаты разблокировки.

Исследователи провели тесты, в ходе которых последовательно увеличивалась сумма единоразового списания. Зафиксированный потолок — 101 фунт стерлинга. Тем не менее банки, как правило, не накладывают ограничений на списания с помощью Apple Pay и Samsung Pay, поэтому суммы могут быть существенно больше.

В Positive Technologies отметили одну особенность смартфонов iPhone: эти устройства позволяют оплачивать услуги даже разряженными. Эксперты порекомендовали разработчикам уделить больше внимания проблемам аутентификации и проверке правильности полей.

Основными недостатками Тимур Юнусов назвал путаницу в криптограммах AAC/ARQC, отсутствие проверки поля суммы для схем общественного транспорта, а также отсутствие проверок целостности поля MCC.

Напомним, что в конце сентября специалисты университетов Бирмингема и Суррея выяснили, что злоумышленник может осуществлять несанкционированные платежи с помощью Apple Pay, если пользователь привязал карту Visa.

Суд запретил материалы ЯПлакалъ, но РКН не нашёл, что именно блокировать

Три юмористических сайта, материалы которых запретил суд, не попали в реестр заблокированных ресурсов из-за отсутствия в судебном решении конкретного перечня запрещённых материалов и их адресов.

Роскомнадзор не нашёл в документе указаний на страницы с контентом, признанным «унижающим человеческое достоинство, а также направленным на дискриминацию и оскорбление лиц по признакам национальной и расовой принадлежности».

Чертановский суд Москвы вынес решение о запрете материалов, размещённых на трёх ресурсах юмористической направленности.

Среди них оказался один из старейших развлекательных порталов «ЯПлакалъ», одна из известных площадок для распространения фотожаб и демотиваторов, а также сайты «Анекдотов стрит» и «Анекдото.net». Истцом по делу выступала прокуратура.

Как указано в решении суда, запрету подлежат «материалы (юмористический контент в текстовом формате), содержащие высказывания, которые можно квалифицировать как унижающие человеческое достоинство, а также направленные на дискриминацию и оскорбление лиц по признакам национальной и расовой принадлежности». При этом доступ к таким материалам является открытым.

Однако «ЯПлакалъ» и «Анекдотов стрит» продолжают открываться. Эти ресурсы также не внесены в реестр запрещённых сайтов, который ведёт Роскомнадзор.

Как сообщили в пресс-службе регулятора в ответ на запрос ТАСС, решение суда поступило в ведомство 6 мая. Однако в нём не указаны конкретные материалы, которых касается запрет.

«В решении не указаны конкретные материалы, которые признаются запрещёнными, а также конкретные указатели страниц сайтов, на которых они размещены, в связи с чем ведомство направит в суд запрос для уточнения конкретных страниц с запрещённой информацией», — заявили в Роскомнадзоре.

RSS: Новости на портале Anti-Malware.ru