Tấn công vượt qua xác thực mã PIN thẻ thanh toán không tiếp xúc Mastercard và Maestro

[WhiteHat News #ID:0911]

Về mặt kỹ thuật, các nhà nghiên cứu đã thực hiện một cuộc tấn công Man-in-the-Middle (MitM) giữa thẻ bị đánh cắp và thiết bị đầu cuối Điểm bán hàng (PoS) của người bán.

Trong một tình huống tấn công, kẻ xấu có thể sử dụng thẻ không tiếp xúc của nạn nhân để mua hàng đắt tiền mà không cần biết mã PIN của thẻ.

“Cụ thể, kẻ tấn công đánh lừa thiết bị đầu cuối tin rằng thẻ đang được sử dụng là thẻ Visa và sau đó thực hiện một cuộc tấn công qua mặt mã PIN, từng được sử dụng với thẻ Visa. Chúng tôi đã xây dựng một ứng dụng Android và tiến hành thành công cuộc tấn công này đối với các giao dịch bằng cả thẻ ghi nợ và thẻ tín dụng Mastercard. Trong đó có cả một giao dịch hơn 400 USD bằng thẻ ghi nợ Maestro”, các nhà nghiên cứu cho hay.

Cuộc tấn công được tiến hành bằng cách sử dụng hai chiếc điện thoại thông minh Android (hỗ trợ NFC và chạy Android 4.4 KitKat trở lên) kết nối với nhau thông qua một kênh chuyển tiếp được xây dựng bằng giao tiếp máy chủ TCP/IP qua WiFi. Trong đó, một điện thoại chạy ứng dụng ở chế độ POS Emulator (Trình giả lập POS); điện thoại còn lại chạy chế độ Card Emulator (Trình giả lập thẻ) do các nhà nghiên cứu phát triển. Thiết bị chạy ở chế độ Card Emulator phải hỗ trợ mô phỏng thẻ trên máy chủ Android để điện thoại có thể khởi chạy dịch vụ thanh toán NFC do ứng dụng triển khai. Khi đó, thực hiện man-in-the-middle trên thiết bị POS Emulator trong khi Card Emulator hoạt động như proxy cho kênh chuyển tiếp.

Kịch bản tấn công rất đơn giản, hacker đặt thiết bị POS Emulator gần thẻ để lừa thẻ bắt đầu một giao dịch và đánh cắp chi tiết giao dịch, trong khi Card Emulator được sử dụng để cung cấp thông tin chi tiết giao dịch đã bị sửa đổi đến một POS thật trong cửa hàng.

Năm ngoái, nhóm các nhà nghiên cứu này cũng phát minh phương thức qua mặt mã PIN trong thanh toán không tiếp xúc của thẻ Visa và áp dụng kỹ thuật này vào cuộc tấn công mới, để đánh lừa thiết bị đầu cuối tin rằng thẻ đang được sử dụng là Visa thay vì Maestro.

Các nhà nghiên cứu đã thử nghiệm thành công cuộc tấn công vào các thẻ Visa Credit, Visa Debit, Visa Electron và V Pay, hoàn tất các giao dịch với số tiền vượt quá giới hạn yêu cầu mã PIN của các ngân hàng Thụy Sĩ.

Không giống cuộc tấn công vào thẻ Visa, cuộc tấn công qua mặt mã PIN đánh lừa thiết bị đầu cuối POS nghĩ rằng giao dịch được thực hiện bằng thẻ Visa thay vì Mastercard/Maestro, các nhà quản lý đã sửa đổi Mã định danh ứng dụng hợp pháp (AID) của thẻ bằng AID của Visa:

Sau đó, các chuyên gia đã sử dụng phương thức tấn công Visa năm 2020 để thực hiện thanh toán mà không cần mã PIN.

Các nhà nghiên cứu cũng công bố video POC về cuộc tấn công:

Các nhà nghiên cứu đã thử nghiệm thành công cuộc tấn công đối với thẻ Mastercard Credit và Maestro, nhưng không tấn công được để thanh toán bằng thẻ Mastercard trong giao dịch Discover và UnionPay.

Mặc dù Mastercard đã giải quyết vấn đề từ đầu năm nay nhưng Visa vẫn chưa vá lỗi qua mặt mã PIN này.

Nguồn: Security Affairs​