ETH-Forscher entdecken Limite bei kontaktlosem Bezahlen lässt sich umgehen

Sicherheitsforscher der ETH Zürich haben eine Lücke bei Visa-Karten entdeckt. Mit dieser ist kontaktloses Bezahlen ohne Limite und ohne Eingabe des PIN-Codes möglich.

Das kontaktlose Bezahlen per Kreditkarte oder mit einer Karte verbundenem Handy wird aufgrund der Bequemlichkeit immer beliebter. Kein langes Kramen nach dem richtigen Kleingeld und keine Eingabe der PIN auf einem möglicherweise virenverseuchten Tastenfeld sind dazu nötig.

Um einen zu grossen Schaden bei einem allfälligen Kartendiebstahl zu vermeiden, gibt es allerdings eine Grenze, über der zur Zahlungsabwicklung die Eingabe der PIN erforderlich ist. Diese Limite wird von den Kartenausstellern festgelegt, in der Schweiz sind seit einer Erhöhung zu Beginn der Coronakrise 80 Franken üblich. Doch die Begrenzung lässt sich umgehen, wie Sicherheitsforscher der ETH Zürich nun herausfanden.

Zwei Smartphones zum Angriff nötig

Um die Lücke auszunutzen, müssen Angreifer im Besitz einer Kreditkarte sein, sie zuvor also dem rechtmässigen Eigentümer entwendet haben. Dann braucht es allerdings nur noch zwei Android-Smartphones, um mit der gestohlenen Karte richtig gross einzukaufen. Ein Video demonstriert den Vorgang:

Ein Smartphone wird an die gestohlene Karte gehalten, das andere an das Zahlungsterminal. Die Bezahlung wird dann unabhängig von der PIN-Eingabe und mit beliebigen Summen abgewickelt. Der Verkäufer würde hier vermutlich nichts Ungewöhnliches bemerken und denken, es handelt sich um eine reguläre mobile Bezahlung per Smartphone.

Gefunden wurde die Lücke in der Implementierung des Zahlungsstandards EMV durch Visa. EMV wird von zahlreichen Kartenanbietern genutzt, Karten von American Express oder Mastercard sind allerdings nicht anfällig. Die Forscher haben Visa bereits über die Lücke informiert. Zur Behebung ist offenbar nur ein Software-Update für die Zahlungsterminals notwendig, einzelne Karten müssen nicht ausgetauscht werden.

SicherheitslückeCorona-Kontaktdaten von Restaurantbesuchern im Netz entblösst