Wer mit Apple Pay und iPhone kontaktlos bezahlen möchte, muss das Gerät bekanntlich zuvor entsperren, etwa mit Face ID oder dem Passcode. Der Zahlungsdienst des kalifornischen Unternehmens beinhaltet allerdings eine praktische Funktion, welche ohne diese Sicherheitsmaßnahme zur Verfügung steht: In großen Städten wie beispielsweise New York und London kann man die U-Bahn nutzen, indem man das Smartphone oder die Apple Watch einfach im gesperrten Zustand an ein entsprechendes NFC-Lesegerät hält. Der Ticketpreis wird dann ohne weiteres Zutun des Nutzers automatisch vom hinterlegten Kreditkartenkonto abgebucht.


Kontaktlos bis zu 1.000 Britische Pfund "erbeutet"
Britische Wissenschaftler nahmen dieses von Apple "Express ÖPNV" genannte Feature jetzt unter die Lupe. Dabei entdeckten sie eine Schwachstelle, welche Hackern den Zugriff auf die Funktion für ihre Zwecke erlaubt ( PDF-Datei). Angreifer können dadurch unter Umgehung der Sicherheitsmechanismen des Sperrbildschirms Zahlungen veranlassen und somit größere Beträge abgreifen. Die Sicherheitsforscher setzten dabei ein Android-Smartphone mit NFC-Schnittstelle sowie handelsübliche Funk-Hardware ein. Die Geräte gaben sich einem iPhone gegenüber als Ticketschranke aus, woraufhin dieses den angeforderten Betrag mit Apple Pay freigab und die Zahlung veranlasste. Auf diese Art und Weise konnten die Wissenschaftler kontaktlos bis zu 1.000 Britische Pfund "erbeuten".

Schwachstelle betrifft "Express ÖPNV" mit Visa-Karte
Ein entsprechender Angriff funktioniert den Sicherheitsforschern zufolge, wenn in den Einstellungen von Apple Pay für Express ÖPNV eine Visa-Karte hinterlegt ist. Ursache hierfür ist die besondere Art und Weise, auf welche diese in das Feature integriert ist. Andere Kreditkartenanbieter, etwa Mastercard, oder Zahlungsdienste wie Samsung Pay sind nicht von der Schwachstelle betroffen. Die an den Universitäten von Birmingham und Surrey tätigen Wissenschaftler gehen davon aus, dass derartige Angriffe durchaus auch von Hackern in freier Wildbahn ausgeführt werden könnten. Visa widerspricht dieser Einschätzung allerdings: Gegenüber ZDNet teilte das Unternehmen mit, dass sich solche Attacken außerhalb von Laboren nicht praktisch durchführen ließen. Apple wies der BBC zufolge darauf hin, dass bei Kreditkartenzahlungen weitere Sicherheitsmaßnahmen ergriffen werden, durch die betrügerische Aktivitäten schnell entdeckt würden.