Samsung Pay durch Fehler für Zahlungsbetrug anfällig
Ein Sicherheitsforscher kann die von Samsung Pay generierten Sicherheitstoken erraten. Mit spezieller Hardware kann er die Token entwenden und auf einem anderen Smartphone benutzen. Das funktioniert sogar in Ländern, in denen Samsung Pay nicht angeboten wird.
Ein Sicherheitsforscher hat eine Schwachstelle in Samsungs Bezahldienst Samsung Pay entdeckt. Demnach ist es bei dem Dienst unter Umständen möglich, Sicherheitstoken vorhersagen. Auf einem anderen Smartphone eingesetzt könnte ein Dritter mit fremden Token und damit auf Kosten eines anderen seine eigenen Einkäufe bezahlen.
Samsung Pay basiert auf einer Technik namens Magnetic Secure Transmission (MST), die das koreanische Unternehmen zusammen mit LoopPay gekauft hat. Sie erlaubt es einem Smartphone, berührungslos mit einem klassischen Magnetstreifenlesegerät zu kommunizieren. Die im Smartphone hinterlegten Kreditkartendaten werden in Token umgewandelt, die dann an das Lesegerät übertragen werden – statt die Kreditkarte in das Lesegerät zu stecken.
Der Forscher Salvador Mendoza fand jedoch heraus, dass sich diese Token vorhersagen lassen. Das Verfahren zur Erstellung der Token werde schwächer, nachdem die Samsung-Pay-App den ersten Token für eine spezifische Kreditkarte generiert habe. Die Wahrscheinlichkeit, künftige Token zu erraten, nehme von daher zu.
Ein Angreifer wiederum könne die Token von einem Smartphone stehlen und anschließend ohne Einschränkungen auf einem anderen Gerät einsetzen, so der Forscher weiter. Bei einem Test habe er einen eigenen Token an einen Freund in Mexiko geschickt, der dort mit entsprechender Hardware seinen Einkauf bezahlt habe – obwohl Samsung Pay in Mexiko noch gar nicht verfügbar sei.
Die Token selbst stiehlt Mendoza mit einer speziellen Vorrichtung, die er an seinem Unterarm befestigt und die wie ein MST-Lesegerät funktioniert. Nimmt er das Smartphone eines Opfers in die Hand, fängt das Gerät den Token ab und schickt ihn automatisch per E-Mail an seine Adresse. So lässt sich der Token auch auf ein anderes Telefon übertragen. Die Vorrichtung lässt sich Mendoza zufolge aber auch an einem legitimen Lesegerät im Einzelhandel anbringen und funktioniert dann ähnlich wie ein traditioneller EC-Karten-Skimmer.
Sein Hack funktioniere mit allen gängigen Kreditkarten, Debitkarten und auch Prepaidkarten. Gutscheinkarten seien jedoch nicht anfällig, da Samsung hier einen Barcode erzeuge, der an der Kasse gescannt werde, ergänzte der Forscher.
“Samsung Pay ist mit den fortschrittlichsten Sicherheitsfunktionen ausgestattet, wodurch sichergestellt wird, dass alle Zahlungsdaten verschlüsselt werden”, teilte ein Samsung-Sprecher mit. “Sollte es jemals eine mögliche Schwachstelle geben, werden wir sie sofort untersuchen und das Problem beheben.”
Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.