最近，英國Newcastle大學的安全研究員在VISA的非接觸式付款卡中發(fā)現(xiàn)了一個安全漏洞，利用該漏洞攻擊者只需使用手機就可以從別人的錢包里偷取大量現(xiàn)金。

非接觸式支付卡使用的是加密芯片(cryptoprocessor)和RFID技術(shù)來進行無線支付，而不需要向傳統(tǒng)的付款方式那樣要把銀行卡插進讀卡器才能完成付款。一部具有NFC功能的手機就可以實現(xiàn)非接觸支付。

在英國，這種非接觸卡有20英鎊的購買額度限制。在購物時，用戶無須輸入PIN密碼而直接刷過即可付款。但是該非接觸式銀行卡中存在一個漏洞——不能識別外幣交易，因此網(wǎng)絡犯罪者可能會利用這一漏洞進行非法轉(zhuǎn)賬，并且非法轉(zhuǎn)賬的金額最高可達到999,999.99美元。

研究人員在第21屆安全通信和計算機會議上，詳細介紹了這一攻擊過程：攻擊者通過手機上安裝的POS終端，預先設置好轉(zhuǎn)賬金額，再把手機靠近受害者的錢包即可進行非法轉(zhuǎn)賬。

該項目的首席研究員在研究結(jié)果聲明中稱，攻擊者只需一個安裝了POS終端的手機即可完成巨額的轉(zhuǎn)賬，而無需在交易終端進行。但專家們擔心的是，犯罪分子可能會利用這個漏洞以小額的方式進行轉(zhuǎn)賬，這樣就既可以竊取到錢財又很難被追查的到。

以上內(nèi)容聽起來很可怕對吧，但是還有一個好消息就是該項發(fā)現(xiàn)目前只是處在實驗階段，還沒有應用到實際中去。

據(jù)英國廣播公司報道，Visa歐洲聲稱：“我們已經(jīng)審閱了Newcastle大學調(diào)查結(jié)果，我們會繼續(xù)專注我們的安全并全力打擊這種欺詐支付手段。另外，這種研究并沒有考慮到Vias有多種保障機制，該項發(fā)現(xiàn)在實驗室之外是很難完成的。”

Vias歐洲也同時表示，該公司正在更新保障機制，并且會增加在線支付交易身份驗證，使得這種攻擊更難進行。

原文地址：http://thehackernews.com/2014/11/hackers-can-steal-99999999-from-visa.html