VISA、万事达卡非接触支付曝盗刷漏洞

移动支付网讯：当地时间2月23日，瑞士苏黎世联邦理工学院表示，在去年9月发现了VISA信用卡安全漏洞，他们发现万事达卡也存在类似安全漏洞。

本质是中间人攻击

无PIN码支付，就是无密码支付，对于每个常用银行卡的人来说都不陌生。无论是在国内还是国外，使用信用卡进行小额支付时，都可以选择无密码支付，国内叫做小额免密免签支付，当进行大额支付时，为保证资金安全则需要使用密码进行支付。

这样的策略是再均衡了便捷和安全性得到的，哪怕持卡人丢失了信用卡，也不会蒙受重大损失。但是瑞士苏黎世联邦理工学院的研究人员发现的安全漏洞，让这个安全策略失效了。

研究人员称，成功攻击需要4个部分：2个安卓手机、一个特殊的App和一个VISA 非接支付卡。安卓App需要安装在2个智能手机上，分别进行卡和POS机的模拟。

攻击的主要思路是POS机模拟器要求卡进行支付、修改交易细节，然后通过WiFi 发送修改后的数据到第二个智能手机，进行无需提供PIN码的大额支付。因为攻击者已经修改了交易数据，所以无需输入PIN码。

研究人员分析称，攻击能够成功的原因是VISA无接触支付协议和EMV标准中的设计漏洞。攻击者利用这些漏洞可以对无接触支付交易中的数据进行修改，包括控制交易详情的域和卡所有者是否经过验证。

交易中的卡持有者验证方法既没有经过认证，也没有进行加密保护。攻击过程中会对卡的数据对象Card Transaction Qualifiers进行修改。

为什么漏洞会影响万事达卡?

据研究人表示，VISA信用卡漏洞是基于EMV标准的信用卡来发起攻击。EMV三个字母分别代表Europay、MasterCard与VISA，是制定该标准最初的三家公司，是国际金融业界对于智能支付卡与可使用芯片卡的POS终端机及自动柜员机（ATM）等所制定的标准。

也就是说，只要使用了这套标准的信用卡几乎都会受到这个漏洞的影响，但是在具体的攻击手段上有所区别。

针对万事达卡的攻击同样利用EMV标准里的安全漏洞，但是在攻击时，多加了一道步骤：混淆信用卡品牌。

在正常的信用卡使用过程中，终端除了会识别信用卡卡号之外，还会根据唯一可识别标识符来确定信用卡的品牌，然后接入到相应的清算网络当中，然后进行正常交易。

在攻击过程中，攻击者同样使用两台手机分别做POS机模拟和卡模拟。与VISA卡攻击不同在于，攻击者会通过程序操纵NFC（或Wi-Fi）通讯，混淆唯一可识别标识符，让模拟POS机的终端误认为是在进行VISA卡交易。

这样就形成了POS机终端执行VISA交易，而卡本身执行万事达卡交易，完成攻击。研究人员证实，有四家银行发行的信用卡和借记卡被攻破。

这样的攻击并不能轻易的做到，研究人员表示，在攻击前，攻击者必须能够访问被攻击的信用卡，在数据响应发送前对数据进行修改。