Une vidéo publiée par la populaire chaîne YouTube Veritasium a déjà fait beaucoup parler d’elle. Il faut dire qu’elle exploite une faille particulièrement spectaculaire : une transaction Apple Pay est validée sur un iPhone verrouillé, sans l’accord de son propriétaire. Dans la vidéo, c’est Marques Brownlee qui joue le rôle de la victime en se faisant « dérober » 10 000 $ alors que son téléphone n’a jamais validé l’opération en restant verrouillé sur la table pendant toute la séquence. En théorie, quelqu’un pourrait ainsi voler de grosses sommes d’argent à l’insu de ses victimes.
Si la démonstration est impressionnante, inutile de paniquer trop vite. La vulnérabilité exploitée par Veritasium est en réalité déjà connue depuis 2021 et elle reste extrêmement difficile à mettre en œuvre. Elle est liée au mode transport express de l’iPhone, qui permet d’utiliser Apple Pay sans déverrouiller son smartphone avec Face ID. Elle nécessite aussi une carte Visa, puisque les autres réseaux de paiement, comme Mastercard, gèrent différemment les opérations et sont immunisés. Surtout, elle demande un matériel précis pour duper à la fois l’iPhone et le terminal de paiement.
Apple Pay : une faille du mode Express avec les cartes Visa
La vidéo détaille le fonctionnement assez sophistiqué de la faille. Elle implique d’avoir un lecteur NFC pour transmettre les données fournies et reçues par l’iPhone dans le cadre d’une transaction. Ce lecteur est relié à un ordinateur qui exécute un script Python chargé de modifier les informations pour tromper tous les appareils impliqués. Concrètement, le script fait en sorte que le paiement soit compatible avec le mode transport express, puis que la somme élevée demandée par le terminal de paiement soit ignorée.
Trois mesures de sécurité mises en place par Apple et les systèmes de paiement sont ainsi levées successivement pour aboutir à un paiement de 10 000 $ validé sans l’aval de Marques. La vidéo s’intéresse aussi aux raisons qui justifient l’existence maintenue de cette faille depuis près de cinq ans. Apple a une part de responsabilité, avec une gestion différente de celle de Samsung qui permet d’autoriser un paiement d’une grosse somme dans le mode transport express. Néanmoins, c’est surtout Visa qui est responsable en n’assurant pas une sécurité suffisante dans ce contexte.
Apple avait informé le réseau de paiement américain avant même la publication de la vulnérabilité en 2021. L’entreprise n’a pas souhaité modifier son système à l’époque et ce n’est manifestement toujours pas le cas. La vidéo se termine sur une interview d’un responsable qui explique que les risques sont suffisamment faibles pour une exploitation à grande échelle et que les personnes qui se font voler par ce biais pourront réclamer des remboursements. Cette réponse qui rejette la responsabilité sur la victime est bien peu satisfaisante, mais il faudra apparemment faire avec.
Le seul recours si vous voulez être protégé consiste à désactiver entièrement le mode transport express ou en tout cas, à ne l’activer que sur les cartes Mastercard. Comme la vidéo le détaille, il y a une couche supplémentaire de sécurité avec ce réseau de paiement qui fait que la faille ne peut plus être exploitée. Néanmoins, même avec une carte Visa en transport express, le risque d’être ciblé par cette attaque reste très faible.
