Trong thông cáo báo chí ngày 29/7, các nhà nghiên cứu cho biết đã tiến hành kiểm tra lỗ hổng được phát hiện tại 5 ngân hàng lớn của Anh (thực hiện trên thẻ và các thiết bị đầu cuối trong và ngoài lãnh thổ nước Anh). Kết quả cho thấy, kẻ tấn công có thể đánh cắp tài khoản và thay đổi hạn mức thanh toán vượt 100% hạn mức quy định trong mỗi lần giao dịch.
Các cuộc tấn công được thực hiện bằng cách kiểm soát hai trường dữ liệu được trao đổi giữa thẻ và thiết bị đầu cuối thẻ trong giao dịch thanh toán không tiếp xúc. Phần lớn tại Anh, khi thanh toán bằng thẻ, nếu giá trị thanh toán trên 30 bảng, thì cần xác thực bổ sung về chủ thẻ. Nếu việc xác thực không thành công, thẻ sẽ thông báo “Không thể giao dịch” để ngăn chặn việc thanh toán vượt quá giới hạn. Ngoài ra, thiết bị đầu cuối được cấu hình cụ thể theo quốc gia, sẽ yêu cầu thẻ hoặc ví điện tử cung cấp xác thực bổ sung về chủ thẻ, chẳng hạn như thông qua mã PIN của thẻ hoặc xác thực dấu vân tay trên điện thoại.
Lớp kiểm tra này bị qua mặt bằng cách sử dụng một thiết bị hoạt động như một máy chủ proxy chặn bắt liên lạc giữa thiết bị đầu cuối thẻ và thẻ. Phương thức tấn công này được biết đến với tên gọi Người-đứng-giữa (MitM). Các cuộc tấn công MitM cũng có thể được thực hiện bằng cách sử dụng ví điện tử, cho phép tin tặc thanh toán với số tiền lên tới 30 bảng Anh mà không cần mở khóa điện thoại.
Thông cáo cũng cho biết, thiết bị này có thể khiến thẻ không yêu cầu phải xác thực, mặc dù số tiền thanh toán lớn hơn 30 bảng Anh. Thiết bị sẽ báo cho thiết bị đầu cuối thẻ rằng việc xác thực đã được thực hiện bằng một phương thức khác. Hình thức tấn công này là khả thi vì thẻ Visa không yêu cầu nhà phát hành và nơi thanh toán phải kiểm tra những bước xác thực tối thiểu ngay tại chỗ.
Theo ông Tim Yunusov, lãnh đạo bộ phận an ninh ngân hàng của công ty Positive Technologies cho biết, ngành công nghiệp thanh toán cho rằng các thanh toán không tiếp xúc đã được bảo vệ bởi các biện pháp đang được áp dụng, nhưng thực tế là các hoạt động gian lận qua thanh toán không tiếp xúc đang gia tăng. Mặc dù đây là một hình thức gian lận tương đối mới và có thể không phải là ưu tiên số một của các ngân hàng tại thời điểm này, nhưng nếu xác thực giới hạn của thẻ không tiếp xúc có thể dễ dàng bị vượt qua thì sẽ gây thiệt hại nghiêm trọng đối với các ngân hàng và khách hàng của họ.
Đỗ Đoàn Kết
Theo Infosecurity
08:00 | 02/08/2019
09:00 | 16/08/2019
14:00 | 29/08/2019
16:00 | 30/05/2019
11:00 | 16/06/2019
16:00 | 15/03/2024
Ngày 11/3, Văn phòng Thủ tướng Pháp thông báo một số cơ quan nhà nước của Pháp đã bị tấn công mạng với cường độ chưa từng có đồng thời nhấn mạnh rằng chính phủ đã có thể hạn chế tác động từ vụ việc này.
07:00 | 08/01/2024
Mới đây, các nhà nghiên cứu an ninh mạng tới từ công ty bảo mật di động ThreatFabric (Hà Lan) cho biết một phiên bản cập nhật mới của Trojan ngân hàng Android có tên là Chameleon đang mở rộng mục tiêu nhắm tới người dùng ở Anh và Ý. Trojan này được phân phối thông qua Zombinder - một loại phần mềm Dropper dưới dạng dịch vụ (DaaS). Bài viết này sẽ tập trung phân tích biến thể mới của Chameleon với khả năng đặc biệt vượt qua tính năng xác thực sinh trắc học.
07:00 | 11/12/2023
Hoạt động từ cuối năm 2021, Ducktail là họ phần mềm độc hại nhằm mục đích đánh cắp tài khoản doanh nghiệp trên Facebook. Theo báo cáo của 2 hãng bảo mật WithSecure (Phần Lan) và GridinSoft (Ukraine) cho biết các cuộc tấn công Ducktail được thực hiện bởi một nhóm tin tặc đến từ Việt Nam.
14:00 | 08/11/2023
Một nhóm tin tặc hacktivist ủng hộ phong trào Hamas đã bị phát hiện đang sử dụng phần mềm độc hại Wiper mới dựa trên hệ điều hành Linux với mục tiêu nhắm vào các công ty của Israel, trong bối cảnh cuộc chiến quân sự giữa Israel và Hamas đang diễn ra.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Mới đây, Cục An toàn thông tin khuyến nghị người dân cảnh giác với 7 hình thức lừa đảo trực tuyến phổ biến, gồm 5 hình thức trong nước và 2 hình thức có quy mô quốc tế.
12:00 | 12/04/2024
