Apple und VISA im Zuständigkeits-Gerangel
Apple Pay: Geld-Abbuchungen von gesperrtem iPhone möglich
Um die bequeme Nutzung von Bezahlschranken im öffentlichen Personennahverkehr möglich zu machen, hat Apple der hauseigenen Bezahlfunktion Apple Pay den optionalen Express-ÖPNV-Modus spendiert.
In unterstützten Regionen lässt sich das iPhone hier in eine Bezahlkarte für den öffentlichen Personennahverkehr verwandeln und während der morgendlichen Pendler-Fahrt dann auch im gesperrten Zustand dafür nutzen, sich schnell durch das Gedränge im U-Bahnhof zu schieben.
Der Express-ÖPNV-Modus wird dabei etwa von den Suica-kompatiblen Zügen in Japan, von den U-Bahn-Linien in New York City und Portland, mehreren ÖPNV-Dienstleistern in Peking und Schanghai, sowie im Londoner Personennahverkehr akzeptiert.
Express-ÖPNV-Modus lässt sich täuschen
Forscher in Großbritannien haben nun festgestellt, dass sich der Express-ÖPNV-Modus des iPhones austricksen lässt und die heimliche Abbuchung von Zahlungen möglich macht. Für diese muss das iPhone nicht mal entsperrt sein.
Dies haben Sicherheitsforscher der britischen University of Birmingham herausgefunden und geben an, dass man von iPhone-Modellen mit aktiviertem Express-ÖPNV-Modus beliebig viele Abbuchungen vornehmen kann.
Glücklicherweise ist dies aktuell nur mit einem vergleichsweise komplizierten Testaufbau möglich. Dabei wird ein modifiziertes Lesegerät in die Nähe eines gesperrten iPhones gebracht und gaukelt diesem vor, an eine Bezahlschranke gehalten zu werden. Mit einem zusätzlichen Android-Handy wird nun eine kontaktlose Bezahlung initiiert, die an das Lesegerät durchgereicht und so letztlich vom iPhone beglichen wird.
Video-Demo: £1000-Abbuchung im Sperrzustand
Apple und VISA im Zuständigkeits-Gerangel
Nach Angaben der Forscher sind die Geld-Abbuchungen derzeit nur von VISA-Karten möglich und könnten von Apple oder VISA problemlos unterbinden werden. Beide Unternehmen wurden bereits vorm Monaten über die Schwachstelle informiert, konnten sich bislang aber nicht nicht einigen, wer für die Fehlerbehebung zuständig ist.