Tags:
Node Thumbnail

นักวิจัยจาก ETH Zurich รายงานถึงช่องโหว่ของโปรโตคอล EMV ที่ใช้ในบัตรเครดิตยอดนิยมทั่วโลก โดยช่องโหว่เปิดทางให้คนร้ายที่ขโมยบัตรไป สามารถจ่ายบิลที่วงเงินสูงๆ ได้โดยไม่ต้องใช้รหัส PIN แม้ตัวบัตรเครดิตจะกำหนดเพดานที่หากยอดจ่ายเกินเพดานจะต้องใช้ PIN ไว้ก็ตาม

สำหรับผู้ใช้บัตรเครดิตในไทยอาจจะไม่ชินนักเนื่องจากการยืนยันจ่ายเงินผ่านบัตรใช้ลายเซ็น แต่ในยุโรปหากวงเงินน้อยๆ การจ่ายแบบ Contactless จะสามารถแตะจ่ายได้ทันที แต่หากยอดชำระสูงขึ้นตัวเทอร์มินัลก็จะขึ้นถามรหัส PIN เพื่อยืนยันอีกครั้ง

นักวิจัยพบว่าฟิลด์ Card Transaction Qualifiers ในโปรโตคอลของ EMV ไม่มีการป้องกันการแก้ไข ทำให้นักวิจัยสามารถสร้างตัวกลางด้วยโทรศัพท์สองเครื่อง เครื่องหนึ่งทำหน้าที่อ่านบัตร และอีกเครื่องทำหน้าที่จำลองบัตร (card emulator) เพื่อใช้แตะเทอร์มินัลรับชำระเงิน ซอฟต์แวร์ในโทรศัพท์จะแก้ไขข้อมูลฟิลด์ Card Transaction Qualifiers เพื่อแจ้งว่าไม่ต้องใช้รหัส PIN ในการชำระเงิน

ช่องโหว่นี้มีผลจำกัด เนื่องจากตัวคนร้ายต้องมีบัตรเครดิตอยู่ในมือ ทีมงาน ETH Zurich แจ้ง Visa ถึงช่องโหว่นี้แล้ว

ที่มา - ZDNet

No Description

ภาพโดย [AhmadArdity

Get latest news from Blognone

Comments

By: pd2002 on 29 August 2020 - 15:44 #1173489

ประเทศไทยไม่ได้รับผลกระทบ เพราะไม่มี PIN อยู่แล้ว 5555

By: osmiumwo1f
ContributorWindows PhoneWindows
on 29 August 2020 - 18:44 #1173502 Reply to:1173489
osmiumwo1f's picture

แต่บัตรผมมีนะ ล่าสุดไปซื้อ PSU มาแล้วจะจ่ายด้วยบัตร debit มันถามหา PIN อยู่ จนต้องหาเครื่องที่รองรับ PIN ถึงจะรูดผ่านครับ

By: osmiumwo1f
ContributorWindows PhoneWindows
on 29 August 2020 - 18:54 #1173503 Reply to:1173489
osmiumwo1f's picture

ซ้ำ

By: iqsk131 on 30 August 2020 - 09:30 #1173539 Reply to:1173489

ผมเข้าใจว่าบัตรเดบิตยุคใหม่ๆ (ยุคที่เปลี่ยน pin เป็น 6 หลัก) น่าจะมี pin กันเกือบหมดแล้วนะครับ อย่างของผมที่เปลี่ยนเมื่อปีที่แล้วก็มีเหมือนกัน

แต่คนน่าจะไม่ค่อยรู้กันเท่าไหร่เพราะ QR เหมือนจะเป็นที่แพร่หลายมากกว่า

ส่วนเรื่องผลกระทบข่าวนี้คงไม่ค่อยมีเท่าไหร่ เพราะเครื่องอ่านบัตรแบบ contactless หรือ paywave ยังไม่ค่อยเป็นที่แพร่หลายมากนัก (หรืออาจจะแพร่หลายก็ได้ แต่หลายร้านไม่ให้เราเอาบัตรแตะเอง แต่เอาบัตรเราไปเสียบแทน..)

By: lew
FounderJusci's WriterMEconomicsAndroid
on 30 August 2020 - 12:13 #1173551 Reply to:1173539
lew's picture

มี PIN แต่ไม่บังคับ PIN ครับ ระบบพวกนี้มันซับซ้อน ไปบังคับจากฝั่งร้านค้า หรือบังคับจากฝั่งบัตรก็ได้


lewcpe.com, @wasonliw

By: Wang_Peter
iPhoneAndroid
on 31 August 2020 - 08:45 #1173664 Reply to:1173551
Wang_Peter's picture

บัตรเครดิตบ้านเรายังไม่มี PIN ครับ Mastecard, VISA ยังไม่ mandate ครับ
แต่จากการขยับของ ธปท. ที่บังคับใช้กับบัตรเดบิต
เครื่อง EDC รองรับการใช้ PIN แล้ว
คาดว่า อีกไม่นานบัตรเครดิต คงจะเริ่มขยับบ้าง

By: Wang_Peter
iPhoneAndroid
on 31 August 2020 - 08:42 #1173663 Reply to:1173539
Wang_Peter's picture

บัตรเดบิต ธปท. บังคับให้ทุกธนาคารเปลี่ยนเป็นบัตร Chip + PIN ถ้าไปใช้จ่ายสินค้าเครื่อง EDC จะบังคับให้ใส่ PIN
สำหรับบัตรแบบ Contactless นั้น Mastercard,VISA mandate ให้ธนาคารต้องเปลี่ยนเป็น Contactless ทั้งหมด ภายในปี 2023 แต่ระหว่างนี้บัตรเก่า เครื่องเก่ายังคงใช้ได้
แต่ถ้าออกบัตรใหม่ เปิดร้านค้าใหม่ต้องมี function contactless