Nova vulnerabilidade descoberta no Samsung Pay permite roubar dados via NFC

Ainda este ano, alguns profissionais de segurança acabaram se deparando com uma brecha no sistema de pagamentos móvel da Samsung que dava a chance para que pessoas mal-intencionadas roubassem os dados do seu cartão de crédito de forma remota. Na ocasião, a fabricante foi a público para garantir que o problema tinha sido corrigido e que ninguém precisava se preocupar com isso. No entanto, uma segunda falha foi descoberta e ela deve ser exposta ao vivo na próxima semana, em uma conferência de segurança na Argentina.

Segundo Salvador Mendoza, um dos responsáveis por descobrir ambos os casos de vulnerabilidade, enquanto a versão inicial do exploit se aproveitava dos recursos de MST do Samsung Pay, essa nova ocorrência é baseada no bom e velho NFC. Como a plataforma dá suporte a ambos os formatos de leitura por proximidade, aparentemente ela fica ainda mais exposta a esse tipo de ataques.

Cuidado com pessoas próximas à máquina de cartões na hora de pagar

Usando a tecnologia para o mal

O funcionamento desse novo método de invasão é relativamente simples. De acordo com o pesquisador, tudo que o criminoso digital precisa fazer para roubar as informações dos clientes do serviço financeiro da sul-coreana é ficar próximo da maquininha de leitura de cartões com um smartphone que esteja rodando um app feito sob medida para a interceptação dessas operações. O programa consegue bisbilhotar a transmissão NFC e roubar códigos de autenticação em duas etapas.

O aplicativo intercepta o token quando o consumidor digita seu PIN ou valida a compra com a digital

Da primeira vez, o aplicativo intercepta o token quando o consumidor digita seu PIN ou valida a compra com a digital antes de o pagamento ser efetivamente processado. Com isso, uma mensagem de erro surge no Samsung Pay, obrigando o cliente a fazer uma segunda tentativa no caixa. Nesse procedimento subsequente, o ladrão acaba ganhando acesso a um código autenticador que dura por até 24 horas. Com isso, é possível replicar os dados do cartão original e realizar compras no varejo e em lojas virtuais em todo o mundo.

Acha que Mendonza está falando de algo teórico? Nada disso! O profissional disse ter testado a brecha de segurança em uma mercearia e promete uma demonstração em tempo real na semana que vem, durante a Ekoparty. Felizmente, ele também afirmou que a Samsung foi alertada do problema, o que significa que, muito provavelmente, a falha será consertada muito em breve.