タッチ決済時の「〇〇Pay」の音をこっそり盗聴し、決済アプリを乗っ取る攻撃 韓国の研究チームが指摘

Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 韓国のChung-Ang UniversityとAjou Universityの研究チームが開発した「MagSnoop: Listening to Sounds Induced by Magnetic Field Fluctuations to Infer Mobile Payment Tokens」は、スマートフォンをかざすだけで決済が完了するサービスにおいて、決済時の音を盗聴して乗っ取る手法だ。あらかじめ仕込まれた攻撃者のアプリが決済時の音を内蔵マイクでこっそり遠隔で盗聴することで、不正に取得したトークンで買い物し放題になる。 商品を購入する際に、現金やクレジットカードの代わりに、スマ

[addwisteria]

SamsungPayが採用しているMST限定の話(NFC系やQRコード決済には関係がない)なので、タイトルがかなり危ういような。

[kazuhooku]

タッチ決済ではなく磁気ストリップのエミュレーションの話な気がする

[vbwmle]

ほぼただのSamsung Payの脆弱性の話じゃねーか 他のまともな非接触決済サービスはNFCなので影響を受けない

[rryu]

〇〇Payといいつつ磁気ストライプをエミュレートするSamsung PayのMSTだけが対象で、磁気によって部品が変形する音を拾って検出するらしい。対象のスマホのアプリからの盗聴というのも無妙な感じ。

[sho]

典型的なAir Gap攻撃じゃないか。実装者が不用意すぎるのでは。

[tattyu]

Payの音、カスタマイズ出来る様にすればある程度防げるとは思うけど、日本だったらsuicaかPayPayか ApplePay辺りにヤマを貼るだけで良いから楽ちんだな。

[miki3k]

Magnetic secure transmissionというものらしい。コイルに通電することにより発生する音(人間の耳には無音?ノイズ?)を録音して解析する手法らしい。磁気データをスキミングされるような感じかな

[cogen]

MSTなんてものがあるのか。知らなかった。NFCとかQRコード決済には関係ない話だ。

[karkwind]

これはすごい

[y-Aki]

Samsong Payだけの特殊事情なので糞題名の記事だな

[numtostring]

“MSTは、「MSTコイル」と呼ばれる導体コイルに電流を流し、コイルに磁界を発生させることで磁気カードのスワイプを模倣する” 日本はMSTが普及していないので関係ない話。

[gamecome]

＼ ワオン! ／

[defiant]

この記事をおすすめしました:

[augsUK]

○○Payの○○の中身はSamsung。磁気ストライプの決済は今どのくらい残ってるのだろう？現状維持特化の規格作るからこうなる的な

[gpx-monya]

MSTなんて初めて聞いたわ。Felicaなみにローカルなやつだったりするのかな//磁気ストライプのことか。そらそんなもん盗聴されたら終わりよな。

[deep_one]

実際には「素材のゆがみで発生している音」を使うんだが、それはつまり決済時に鳴る効果音を録音して解析することになるからという事か。／音が小さすぎて端末にアプリをインストールして近くから盗聴すると。

[Seamless]

被害者がスマホタッチで決済すると事前インストールしてしまったアプリが内蔵マイクから音を取得。そこから決済トークンを予測。遠隔の敵はそのトークンで不正買物が行える。

[pado3]

静かなところでMST決済サービスを利用するとトークンが「聴かれる」可能性がある。防振材料の需要が増えるかも