Falha no Apple Pay com Visa permite cobranças altas em iPhones bloqueados sem senha
Uma brecha na integração entre Apple Pay e Visa possibilita a realização de cobranças de alto valor em iPhones bloqueados, sem necessidade de senha ou biometria. O golpe exige acesso físico prolongado ao aparelho, equipamentos específicos e um cartão Visa configurado no Modo Expresso do iOS.
Vulnerabilidade no Modo Expresso do Apple Pay
A falha descoberta no Reino Unido em 2021 e que voltou a ser noticiada envolve o Modo Expresso (Express Transit) do Apple Pay. Este recurso, projetado para agilizar o acesso a transportes públicos permitindo aproximação do celular sem ligar a tela ou usar biometria, é explorado pelo golpe. Pesquisadores da Universidade de Birmingham descreveram o ataque como man-in-the-middle, onde um rádio é utilizado para emitir códigos de catracas de metrô. Ao capturar esses códigos, o iPhone é induzido a acreditar que está em uma estação de metrô, autorizando a comunicação de pagamento. Um computador intercepta o sinal, modifica os dados da transação de alto valor para que pareçam uma passagem barata, e a repassa para uma máquina de pagamento comum via um celular Android modificado com root.
Complexidade do ataque e reconhecimento das empresas
Embora a falha tenha sido demonstrada com um youtuber conseguindo debitar US$ 10 mil (aproximadamente R$ 50 mil) de outro criador de conteúdo, veículos especializados como o Apple Insider reforçam que o usuário comum não deve se alarmar, pois o ataque é complexo e exige fatores improváveis para ser aplicado no dia a dia. Apple e Visa reconhecem o problema e discutem a origem da falha, com a rede de cartões afirmando que o ataque é complexo demais para ser aplicado rotineiramente.