[영상] 해커, 삼성페이에서 무선으로

신용카드 탈취 가능한 취약점 찾아내

공격자, 토큰을 삼성페이 디바이스로부터 훔쳐 제한없이 사용가능

해외 보안연구원들이 삼성페이에서 무선으로 카드 정보를 탈취하고

다른 폰을 이용해 사용할 수 있는 취약점을 발견했다.
 
삼성페이는 NFC와 마그네틱 방식 모두를 지원하는데 이중 마그네틱 방방식이 문제가 되었다.

삼성페이의 마그네틱 기반 무선 지불 시스템은 해커가 디바이스를 통해 신용카드 번호를

가져올 수 없도록 크레딧카드의 정보를 토큰으로 암호화하고 이를 자기장 신호로 변환해 결제한다.

그러나 토큰이 생각보다 안전하지 않다는 것이 문제였다.
 
Salvador Mendoza는 토큰화 프로세스가 한계가 있고 토큰의 시퀀스를 매기는 방법이 예측가능하다는 것을 알아내었다.

그는 블랙햇 발표에 앞선 이메일에서 토큰화 프로세스가 앱이 첫 토큰을 만들어낸 후

취약해져 다음 토큰을 예측가능해 진다고 설명했다.

이를 이용해 공격자는 토큰을 삼성페이 디바이스로부터 훔쳐 제한없이 사용가능하다고 설명했다.
 
Mendoza는 유튜브를 통해 그가 멕시코에서 그의 친구중 한 명에게 토큰을 보냈고,

그는 그것을 자기 스푸핑을 통해 그것을 사용하는 것을 시연했다.

기사 원문보기 : http://www.dailysecu.com/news/articleView.html?idxno=15261