Нюйоркският Metropolitan Transportation Authority (MTA) деактивира функция, свързана с неговата система за безконтактно плащане в метрото, след като доклад показа колко лесно някой може да злоупотреби с нея, за да получи достъп до историята на пътуванията на друго лице за предходните седем дни.
В доклада на 404 Media се описва как всеки, който има достъп до номера на кредитна карта, която друго лице може да е използвало, за да докосне и плати за пътуване с метрото, може да използва картата, за да проследи движението на лицето в метрото. Единственото, което е трябвало да направи, е да въведе номера на картата в уебсайта One Metro New York (OMNY) на MTA, за да извлече историята на пътуванията на притежателя на сметката за предходната седмица – без никаква допълнителна проверка.
Освен че някой има физически достъп до портфейла на друго лице, номерата на кредитните карти са лесно достъпни и на подземните пазари за всеки, който желае да ги купи. Доклад, публикуван от Comparitech през август, показва, че средната цена в Dark Web за основна информация за кредитни карти – включително номер на картата, CVV, дата на валидност и име на картодържателя – е 17,36 USD. Цените са обвързани с наличния кредит по откраднатата карта и достигат стотици долари за карти с високи кредитни лимити. Въпреки това купуването на номер вероятно е много по-достъпно.
Заплаха от преследване
Информацията за историята на пътуванията на OMNY показва само точката на влизане в системата на метрото, но не и точката на излизане. Въпреки това данните са достатъчни, за да може насилник да преследва жертви или някой да проследи дадено лице или да определи къде може да живее, предупреждава статията в 404 Media. В доклада се цитира експерт по защита на личните данни, който изразява загриженост относно това, че MTA изглежда е използвала номера на кредитната карта на лицето като основен идентификатор и не е изисквала дори ПИН код за удостоверяване на самоличността.
В изявление, изпратено по електронната поща до Dark Reading, говорителят на MTA Юджийн Резник заяви, че транспортният орган временно е спрял функцията за история на пътуванията на уебсайта OMNY. „Тази функция имаше за цел да помогне на нашите клиенти, които искат да имат достъп до историята на пътуванията си, както платени, така и безплатни, без да се налага да създават акаунт в OMNY“, каза Ресник. „Като част от постоянния ангажимент на MTA за защита на личните данни на клиентите, ние деактивирахме тази функция, докато преценяваме други начини за обслужване на тези клиенти.“
Междувременно MTA продължава да предоставя на пътниците в метрото възможността да плащат за пътуването си с пари в брой и е готова да вземе предвид мнението на експертите по безопасността за потенциални подобрения на опцията за безконтактно плащане, отбеляза той.
MTA официално въведе опцията за безконтактно плащане с докосване за пътувания в метрото преди четири години, през юни 2019 г. Опцията позволява на пътниците да плащат за пътуванията с помощта на своите безконтактни кредитни или дебитни карти. Пътниците също така имат възможност да използват мобилни портфейли като Google Pay и Apple Pay, за да плащат за пътувания, като просто докосват смарт устройствата си до четците OMNY, инсталирани в градската метросистема.
Самата MTA не съхранява и не вижда действителния номер на картата. По-скоро всички номера на картите се токенизират – или забулват – като допълнителна мярка за сигурност. Според MTA това позволява да се обработват транзакции и да се генерират истории на пътуванията, без MTA да знае действителния номер на кредитната карта.
Опитът на MTA подчертава някои от потенциалните затруднения, с които организациите вероятно ще се сблъскат, когато възприемат моделите за плащане чрез докосване и пускане през следващите години.
За момента загрижеността за сигурността е слаба
Технологиите за безконтактни плащания съществуват от години, но използването им наистина се разрасна по време на пандемията и оттогава продължава да расте. В публикация в блога от началото на този месец, публикувана от старши изпълнителен директор на Fair, Isaac and Company (FICO), основната услуга за кредитен скоринг в САЩ, се оценява, че глобалната стойност на пазара на безконтактни плащания ще достигне 6,3 трилиона долара до 2028 г., като водещи ще бъдат Великобритания и Европа. В публикацията се посочва, че безконтактните плащания дават възможност на банките и търговците да осигурят по-бързи и безпроблемни транзакции, като същевременно насърчават по-голямо удобство и улеснение за потребителите.
За момента опасенията за сигурността при използването на технологията за безконтактни плащания са малко по-слаби, а когато съществуват, те са свързани главно с възможността за измами с платежни карти. Както отбелязва блогът FICO: „Видът на измамите, които се извършват в сферата на безконтактните плащания, засега е сравнително несложен – случайна загуба или умишлена кражба на дебитна или кредитна карта. Престъпниците могат да направят няколко покупки до лимита, преди да е необходим ПИН код.“
