NFC Sicherheitslücke bei VISA
Forscher der Newcastle University haben eine Methode entdeckt, wie das vorgegebene Limit von VISA-Kreditkarten beim kontaktlosen Zahlen via NFC umgehen lässt. Wird eine Transaktion in einer ausländischen Währung getätigt, sind Abhebungsbeträge bis zu einem Wert von 999.999,99 möglich. Ein Dieb könnte so problemlos ohne PIN oder Unterschrift Zahlungen in dieser enormen Höhe tätigen.
Die für das kontaktlose Zahlen geeigneten VISA-Karten verfügen über einen Cryptoprozessor und einen RFID-Chip, welcher das Einführen in ein Lesegerät überflüssig macht. Für europäische Debitkarten gilt generell ein festes Transaktions-Limit bei kontaktlosen Zahlungen. Dieses Limit beträgt in Deutschland 25 Euro. Bei höheren Geldbeträgen wird dann eine PIN oder Unterschrift fällig. In den Vereinigten Staaten, wo das Institut die Technik unter dem Namen VISA payWave vermarktet, variiert das Limit von Händler zu Händler, da dieser den Wert selbst bestimmen kann.
Die britischen Sicherheitsforscher stellten fest, dass die Zahlungsobergrenze nur in der heimischen Währung des Käufers geprüft wird, aber jeder Betrag einer Fremdwährung bis zu 999.999,99 akzeptiert wird. Laut VISA müssen Kunden allerdings regelmäßig ihre PIN eingeben, auch bei Kaufbeträgen die unter dem Limit liegen. Eine heftige Sicherheitslücke, welche man mit einer Prepaid-Kreditkarte so wohl nicht zu befürchten bräuchte.
VISA Europe erklärte gegenüber dem BBC, dass die Forscher die mehreren eingerichteten Sicherheitsmaßnahmen nicht berücksichtigt hätten und dass es schwierig sei, solch eine Transaktion außerhalb von Laborbedingungen durchzuführen. Das Forscherteam um Martin Emms hingegen verteidigt den Wert seiner Arbeit. Emms wies schon zuvor auf Sicherheitslücken beim kontaktlosen Bezahlen mit Bank- und Kreditkarten hin. Im Mai 2013 bewies er, dass diverse Funk-Bezahlterminals, die auch kontaktbasierte Karten akzeptieren, kontaktlose Karten in der Nähe auslesen können. VISA Europe lässt derzeit auf seiner Homepage verlauten, dass Sicherheitsmaßnahmen solche und ähnliche Fehler verhindern. Wer eine Kreditkarte im Vergleich sucht, sollte also abwägen, ob er unbedingt die kontaktlose Bezahlvariante benötigt.