0001haru ★
2021/06/28(月) 18:41:04.11ID:4ElQbroQ9近距離無線通信（NFC）リーダーのチップの脆弱性によるもので、いまだに脆弱性の多くは機器に残っている可能性が高いという。
セキュリティ研究者とサイバー犯罪者たちは何年も前から、あらゆる手段を使って現金自動預払機（ATM）の内部に入り込んでハッキングを試みてきた。
フロントパネルを開けてポートにUSBメモリーを差したり、ドリルで穴を開けて内部の配線を露出させたりといった手法だ。
こうしたなかATMのみならず、さまざまなPOS端末まで新たな方法でハッキングできるバグを研究者が発見した。
非接触型のクレジットカードリーダーにスマートフォンをかざすだけでハッキングできるというのだ。
セキュリティ企業IOActiveの研究員兼コンサルタントのジョセップ・ロドリゲスは、このほど1年かけて世界中の何百万台というATMやPOSシステムに使われている近距離無線通信（NFC）リーダーのチップの脆弱性を調べた結果を報告した。
NFCのシステムがATMに搭載されていれば、クレジットカードをスワイプしたり挿入したりする代わりに、リーダーにかざすだけで支払いを済ませたりATMから現金を引き出したりできる。
コンサルタントとして長年ATMのセキュリティを検証してきたロドリゲスは、ATMの非接触型カードリーダー（決済技術企業のID TECHが販売しているものが多い）がハッキングの入口になる可能性について、1年前から調べ始めたという。
eBayでNFCリーダーやPOS機器を購入し始めたが、その多くに同じセキュリティ上の欠陥があることをほどなく発見した。
そうした機器はNFCを介してクレジットカードからリーダーに送信されるデータパケット、すなわちAPDU（Application Protocol Data Unit）のサイズを検証していなかったのだ。
ロドリゲスは、リーダーが想定しているサイズの数百倍の大きさで念入りに作成されたAPDUを、カスタムアプリを使ってNFC対応のAndroid端末から送信することで、「バッファオーヴァーフロー」を引き起こすことに成功した。
バッファオーヴァーフローは数十年前から存在するソフトウェアの脆弱性で、ハッカーはこれを使うことで標的にしたデヴァイスのメモリーを破壊し、独自のコードを実行できる。
彼はバッファオーヴァーフローのような単純な脆弱性が、これほど多くの一般的に使用されている機器に残っていることに衝撃を受けたという。しかもよりによって、現金と機密性の高い金融情報を扱う機器に見つかったのである。
「こうした脆弱性は何年も前からファームウェアに存在しており、わたしたちはこのような機器を毎日使ってクレジットカードやお金の取引をしているのです」とロドリゲスは言う。「こういった機器は安全でなければなりません」
https://wired.jp/app/uploads/2021/06/26095621/GettyImages-922783932-main-e1624669036668_w1920.jpg
2021.06.27 SUN 09:00
https://wired.jp/2021/06/27/atm-hack-nfc-bugs-point-of-sale/
