Fehler in Samsung Pay erlaubt Zahlungsbetrug

Ein Sicherheitsforscher errät von Samsung Pay generierte Sicherheitstokens. Mit spezieller Hardware lassen sich die Tokens entwenden und auf einem anderen Smartphone einsetzen. Das funktioniert sogar in Ländern, in denen Samsung Pay nicht angeboten wird.

Ein Sicherheitsforscher hat eine Schwachstelle in Samsungs Bezahldienst Samsung Pay entdeckt. Demnach ist es unter Umständen möglich, Sicherheitstokens vorhersagen. Auf einem anderen Smartphone eingesetzt könnte ein Dritter mit fremden Tokens und damit auf Kosten eines anderen seine eigenen Einkäufe bezahlen.

In Samsung Pay hinterlegte Kreditkarten lassen sich auch mit einer Wischgeste aufrufen – ohne dass die App gestartet werden muss (Bild: Cho Mu-hyun/ZDNet.com).Samsung Pay basiert auf einer Technik namens Magnetic Secure Transmission (MST), die das koreanische Unternehmen zusammen mit LoopPay gekauft hat. Sie erlaubt es einem Smartphone, berührungslos mit einem klassischen Magnetstreifenlesegerät zu kommunizieren. Die im Smartphone hinterlegten Kreditkartendaten werden in Tokens umgewandelt, die dann an das Lesegerät übertragen werden – statt die Kreditkarte in das Lesegerät zu stecken.

Der Forscher Salvador Mendoza fand jedoch heraus, dass sich diese Tokens vorhersagen lassen. Das Verfahren zur Erstellung der Tokens werde schwächer, nachdem die Samsung-Pay-App den ersten Token für eine spezifische Kreditkarte generiert habe. Die Wahrscheinlichkeit, künftige Tokens zu erraten, nehme von daher zu.

Ein Angreifer wiederum könne die Tokens von einem Smartphone stehlen und anschließend ohne Einschränkungen auf einem anderen Gerät einsetzen, so der Forscher weiter. Bei einem Test habe er einen eigenen Token an einen Freund in Mexiko geschickt, der dort mit entsprechender Hardware seinen Einkauf bezahlt habe – obwohl Samsung Pay in Mexiko noch gar nicht verfügbar sei.

Die Tokens selbst stiehlt Mendoza mit einer speziellen Vorrichtung, die er an seinem Unterarm befestigt und die wie ein MST-Lesegerät funktioniert. Nimmt er das Smartphone eines Opfers in die Hand, fängt das Gerät den Token ab und schickt ihn automatisch per E-Mail an seine Adresse. So lässt sich der Token auch auf ein anderes Telefon übertragen. Die Vorrichtung lässt sich Mendoza zufolge aber auch an einem legitimen Lesegerät im Einzelhandel anbringen und funktioniert dann ähnlich wie ein traditioneller EC-Karten-Skimmer.

ANZEIGE

Open Telekom Cloud: Ressourcen auf Abruf

Von Capex zu Opex: Mit IT-Kapazitäten aus der Cloud statt von eigenen Servern verwandeln Unternehmen gerade verstärkt starre Investitionskosten in dynamische Ausgaben, die sich dem Geschäftsverlauf anpassen – und werden damit flexibler. Immer beliebter: Infrastructure-as-a-Service (IaaS) aus der Open Telekom Cloud.

Sein Hack funktioniere mit allen gängigen Kreditkarten, Debitkarten und auch Prepaidkarten. Gutscheinkarten seien jedoch nicht anfällig, da Samsung hier einen Barcode erzeuge, der an der Kasse gescannt werde, ergänzte der Forscher.

„Samsung Pay ist mit den fortschrittlichsten Sicherheitsfunktionen ausgestattet, wodurch sichergestellt wird, dass alle Zahlungsdaten verschlüsselt werden“, teilte ein Samsung-Sprecher mit. „Sollte es jemals eine mögliche Schwachstelle geben, werden wir sie sofort untersuchen und das Problem beheben.“

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: E-Commerce, Samsung, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Stefan Beiersmann
Autor: Stefan Beiersmann
Freier Mitarbeiter
Stefan Beiersmann
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Fehler in Samsung Pay erlaubt Zahlungsbetrug

Kommentar hinzufügen
  • Am 8. August 2016 um 10:14 von PeerH

    Es fehlt halt die Secure Enclave – ein Ort auf dem Smartphone, auf den man nicht zugreifen kann.

    Mit einem Hotfix kein allzu großes Problem.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *