Predviđa se da će digitalne novčanike—kao što su Apple Pay, Google Pay i Pay Pal— koristiti više od 5,3 milijarde ljudi do 2026. Iako ovi novčanici promovišu veću bezbednost u odnosu na tradicionalne metode plaćanja, oslanjanje na zastarele metode autentifikacije i prioritet pogodnosti nad bezbednošću ostavljaju digitalne novčanike ranjivi, prema novom istraživanju koje su vodili kompjuterski inženjeri sa Univerziteta Masačusets Amherst.
„Ono što smo otkrili je [da] ovi digitalni novčanici nisu bezbedni“, kaže Taki Raza, docent za elektrotehniku i računarstvo i autor u radu. „Glavni razlog je to što imaju bezuslovno poverenje između vlasnika kartice, novčanika i banke.
U normalnom ekosistemu digitalnog novčanika, korisnici počinju unosom broja svoje kreditne ili debitne kartice, koji se naziva primarni broj računa (PAN), u digitalni novčanik. Identitet korisnika se potvrđuje kao zakoniti vlasnik kartice pomoću neke informacije, kao što je poštanski broj ili poslednje četiri cifre njihovog broja socijalnog osiguranja.
Zatim, kad god se izvrši kupovina, novčanik sakriva PAN i deli „token“ sa prodavcem. Prodavac prilaže token transakciji. Ove informacije se vraćaju kroz platnu mrežu banke, pretvarajući token nazad u PAN. Banka tada izmiruje plaćanje sa prodavcem u ime klijenta, a da nikada ne otkrije PAN prodavcu.
Nažalost, postoje načini na koje loši akteri mogu zaobići ovaj sistem da bi kupovali kreditnim karticama drugih ljudi. U radu su opisane glavne američke banke i kompanije za digitalne novčanike koje su pogođene ovim. Ove kompanije su obaveštene o nalazima studije pre njenog objavljivanja i dato im je dovoljno vremena za neophodna poboljšanja bezbednosti. Istraživači su koristili sopstvene kartice da završe svoje testove i u ovim bezbednosnim testovima nije izvršena nikakva lažna aktivnost.
Prvo, postoji pitanje početne autentifikacije. „Svaki zlonamerni akter koji zna [fizički] broj kartice može se pretvarati da je vlasnik kartice“, kaže Raza. „Digitalni novčanik nema dovoljan mehanizam da potvrdi da li je korisnik kartice vlasnik kartice ili ne. On naglašava da se postojeće metode autentifikacije lako mogu zaobići.
Još jedan problem je da, kada žrtva prijavi krađu svoje kartice, banke blokiraju samo transakcije sa fizičke kartice, a ne one izvršene preko digitalnog novčanika. Banke pretpostavljaju da njihov sistem za autentifikaciju ima dovoljnu sigurnost da spreči napadače da dodaju tuđu karticu u svoj novčanik, što, kako ističe Raza, nije slučaj.
Kada se brojevi ukradenih kartica sačuvaju u digitalnom novčaniku, vlasnik kartice je praktično nemoguće da ih deaktivira. „Čak i ako vlasnik kartice zahteva zamenu kartice, banke ne overavaju ponovo autentičnost kartica koje se nalaze u novčaniku“, kaže Raza. „Ono što rade je da jednostavno menjaju mapiranje virtuelnog broja u novi broj fizičke kartice.“
Evo izmišljenog primera: Broj kreditne kartice žrtve završava se na 0123. Napadač dodaje 0123 u njihov digitalni novčanik i počinje da kupuje. Opet, digitalni novčanici funkcionišu tako što šalju virtuelni broj prodavcu, tako da prodavci dobijaju virtuelni broj ABCD i odnose ovaj broj u banku da bi dobili plaćanje povezano sa računom 0123.
Žrtva otkriva lažna plaćanja i traži od banke da izda novu kreditnu karticu. Banka šalje novu karticu sa brojem 4567 i, na poleđini, ponovo mapira virtuelni broj: ABCD više nije povezan sa 0123, sada se povezuje sa 4567. Novčanik automatski počinje da prikazuje novu karticu svom korisniku bez ikakve verifikacije za nova kartica koja se ažurira u novčaniku. Prodavci zatim odlaze u banku sa ABCD, koji je sada povezan sa 4567, novim i aktivnim brojem, i kupovina se odvija.
Istraživači su takođe testirali ovu rupu na strani digitalnog novčanika i pronašli slične ranjivosti. „Želimo [kompanije za digitalne novčanike] da preuzmu i određenu odgovornost jer su one na čelu kako se ove transakcije dešavaju“, kaže Raja Hasnain Anvar, doktorant elektrotehnike i računarstva i vodeći autor studije. „Želimo da imaju čvrstu koordinaciju. To je cela poenta papira: nema. Nedostaje koordinacija.“
On ističe da mnoga od ovih problema proizilaze iz novih funkcija koje nude banke. „Na primer, svoju karticu možete da delite u okviru porodice – jedna kartica može da se doda na više mobilnih telefona“, kaže on.
„Ili ako imate pretplatu na Netflik, kompanija za izdavanje kreditnih kartica ne želi da izgubite tu pretplatu, tako da će nastaviti da naplaćuje vašu karticu, iako je ta kartica zaključana. Ako banke pokušavaju da prebace sve svoje uplate digitalno, oni moraju da ulože više napora da to učine sigurnim. Ne mogu se samo osloniti na postojeću tehnologiju da bi se pobrinuli za to.
„To je sigurnost naspram pogodnosti“, dodaje Raza. „I otkrili smo da banke daju više prioriteta pogodnosti nego bezbednosti. Sigurnost se uzima zdravo za gotovo jer veruju da je provera korisničkog uređaja koja se koristi dovoljna za bezbednost novčanika. Nije.“
Iako je ova specifična rupa rešena, istraživači i dalje preporučuju sledeće najbolje bezbednosne prakse: uključite obaveštenja e-poštom kada se kartica doda/ukloni iz novčanika, uključite obaveštenja o transakcijama za kreditne kartice, redovno proveravajte izvode kreditne kartice i pregledajte uređaje povezane sa kreditom kartice preko veb portala banke ili podešavanja računa mobilne aplikacije.
