「ApplePayでAirPodsを不正購入」――デジタルウォレットで無料ショッピングする“抜け穴”攻撃 米国チームが発表
ITmedia NEWS / 2024年9月2日 8時5分
![「ApplePayでAirPodsを不正購入」――デジタルウォレットで無料ショッピングする“抜け穴”攻撃 米国チームが発表](https://media.image.infoseek.co.jp/isnews/photos/itmedia_news/itmedia_news_20240902018_0-small.jpg)
デジタル決済システムの概要
米マサチューセッツ大学アマースト校などに所属する研究者らが発表した論文「In Wallet We Trust: Bypassing the Digital Wallets Payment Security for Free Shopping」は、他人のクレジットカードを用いてデジタルウォレットを介して商品を購入する攻撃を示した研究報告である。
この脆弱性は、米国の主要銀行(Chase Bank、AMEX、Bank of Americaなど)やApple Pay、Google Pay、PayPalなどの主要なデジタルウォレットに影響を及ぼすものである。
通常のデジタルウォレットの仕組みは次のようになっている。まず、ユーザーは自分のクレジットカードやデビットカードの番号(プライマリーアカウントナンバー、PAN)をデジタルウォレットに入力する。
その後、例えば、ナレッジベースの認証(KBA)として郵便番号や社会保障番号の下4桁などの情報を用いて、ユーザーが正当なカード所有者であることを認証する。購入時には、ウォレットがPANを隠し、代わりに「トークン」と呼ばれる一時的な識別子を販売者と共有する。このプロセスにより、販売者にPANを明かすことなく取引が行われる仕組みになっている。
しかし、研究チームは、悪意を持った第三者がこのシステムを迂回し、他人のクレジットカードで不正な購入を行う方法があることを発見した。最も深刻な問題は、初期認証の脆弱性である。物理的なカード番号を知っている悪意者が、カード所有者になりすますことが可能であり、デジタルウォレットには、カード使用者が本当のカード所有者であるかを十分に認証するメカニズムがないという。
つまり、カード番号と簡単な個人情報さえ入手できれば、他人のカードを自分のデジタルウォレットに追加できてしまうのである。
さらに深刻な問題は、カードの盗難が報告された場合の銀行の対応にある。通常、米国銀行は物理的なカードからの取引をブロックするが、デジタルウォレットを介した取引はブロックしないことが判明。銀行は、自社の認証システムが十分に安全であり、攻撃者が他人のカードをウォレットに追加することを防げると考えているが、実際にはそうではないことが研究により明らかになった。
もう一つの重大な問題は、盗まれたカード番号がデジタルウォレットに一度保存されると、カード所有者がそれを無効化することがほぼ不可能になることである。カードの交換を要求しても、米国銀行はウォレットに保存されているカードを再認証せず、単に仮想番号と新しい物理カード番号のマッピングを変更するだけである。これにより、新しいカードが発行されても、攻撃者は引き続き不正な取引を行うことができてしまう。
この記事に関連するニュース
-
Androidユーザーのキャッシュカードを悪用し現金を盗む手口が明らかに
マイナビニュース / 2024年8月24日 9時5分
-
プロサッカー選手・堂安律さん起用の新CM「『Visaでタッチ』を、Apple Payで。」8月19日より配信開始
PR TIMES / 2024年8月19日 10時45分
-
あなたのクレジットカードが狙われる! ウェブスキミングとクレジットマスターとは?
マイナビニュース / 2024年8月13日 11時0分
-
東奔西走キャッシュレス 第59回 クレジットカードの不正利用、フィッシング対策の強化を
マイナビニュース / 2024年8月9日 17時57分
-
複数の交通系ICカードをエクスプレスカードに指定できますか? - いまさら聞けないiPhoneのなぜ
マイナビニュース / 2024年8月9日 11時15分
ランキング
-
1覚えておくとApple Watchがちょっと快適になる小ワザ3選|Apple Watch Hacks
&GP / 2024年9月1日 19時0分
-
2老舗テック媒体「AnandTech」が閉鎖 - 精緻なレビューに定評、27年の活動に幕
マイナビニュース / 2024年9月1日 14時27分
-
3「よくこんなものが……」 米不足でメルカリに米出品→疑問の声も 運営は“禁止出品物”に「然るべき対応」
ねとらぼ / 2024年8月31日 12時0分
-
4次男に塩対応の柴犬、いよいよ次男の帰省最終日を迎え…… 本音が出た瞬間に「不意に泣かせるのやめて欲しい」と感動の声
ねとらぼ / 2024年8月31日 8時45分
-
57人のママ、新学期初日は大忙し! 笑顔を絶やさない朝食&お弁当作りの奮闘が550万再生「スーパーママだね」【米】
ねとらぼ / 2024年9月2日 6時45分
複数ページをまたぐ記事です
記事の最終ページでミッション達成してください
![](/pc/img/mission/mission_close_icon.png)