Samsung Pay đã bị vượt mặt, cho phép hacker tiêu xài thoải mái tiền của nạn nhân

Một chuyên gia bảo mật đã tìm ra lỗ hổng trong hệ thống thanh toán Samsung Pay, giúp kẻ xấu có thể lợi dụng để thực hiện giao dịch mà không cần sự cho phép của chủ nhân.

Samsung Pay là tính năng thanh toán dựa trên công nghệ Magnetic Secure Transmission (MST), cho phép người dùng giao dịch trực tiếp với các máy quẹt thẻ POS mà không cần sự hỗ trợ của NFC như Apple Pay hay Android Pay. Ưu điểm của nó là giúp khách hàng có thể giao dịch ở nhiều cửa hàng hơn, tuy nhiên, đằng sau nó cũng ẩn chứa những nguy cơ bảo mật.

Salvador Mendoza, một chuyên gia bảo mật đã chia sẻ về lỗ hổng bảo mật của Samsung Pay tại hội nghị bảo mật Black Hat ở Las Vegas (Mỹ). Cách thức hoạt động của Samsung Pay là chuyển các thông tin nhạy cảm như số tài khoản, tên chủ thẻ... thành một dạng mã khóa (token), và khi giao dịch thì token này sẽ được chuyển đến ngân hàng nhằm mục đích bảo mật. Tuy nhiên theo Salvador, cơ chế mã hóa này sẽ bị yếu đi sau lần đầu tiên, dẫn đến việc những kết quả mã hóa trong những lần giao dịch sau đó có thể dự đoán được.

Từ những mã token này, hacker có thể sử dụng chúng để thực hiện giao dịch bất hợp pháp mà chủ thẻ không hề hay biết. Theo Mendoza, anh đã gửi mã token đến một người bạn tại Mexico, và người bạn này của anh có thể sử dụng nó để thanh toán mà không gặp bất kỳ trở ngại nào. Cần phải nói thêm rằng, Mexico hiện chưa nằm trong danh sách những quốc gia được Samsung Pay hỗ trợ, vậy nên hacker có thể thực hiện thanh toán ở bất kỳ đâu trên thế giới.

Tuy nhiên, cách thức để "trộm" mã token là không hề đơn giản. Mendoza đã đeo một thiết bị đặc biệt ở cổ tay. Người dùng Samsung Pay cũng cần đặt smartphone của mình sát với thiết bị này thì nó mới có thể "hút" mã token. Đương nhiên, trên thực tế thì sẽ chẳng ai lại chạm smartphone của mình vào cổ tay người khác. Nhưng sẽ rất nguy hiểm nếu hacker giấu những thiết bị này vào các máy quẹt thẻ thông thường mà chúng ta đang sử dụng hàng ngày.