跳动城乡网预计到2026年，将有超过53亿人使用ApplePay、GooglePay和PayPal等数字钱包。马萨诸塞大学阿默斯特分校的计算机工程师领导的最新研究表明，虽然这些钱包比传统支付方式更安全，但对过时的身份验证方法的依赖以及优先考虑便利性而不是安全性使数字钱包变得容易受到攻击。
“我们发现这些数字钱包并不安全，”电气与计算机工程助理教授、论文作者塔基·拉扎(TaqiRaza)表示。“主要原因是持卡人、钱包和银行之间建立了无条件的信任。”
在普通的数字钱包生态系统中，用户首先将信用卡或借记卡号(称为主账户号(PAN))输入到数字钱包中。然后，系统会通过邮政编码或社会安全号码的后四位数字等信息验证用户身份，确认其为合法持卡人。
然后，每当进行购买时，钱包都会隐藏PAN并与供应商共享“令牌”。供应商将令牌附加到交易中。此信息通过银行的支付网络返回，将令牌转换回PAN。然后，银行代表客户与供应商结算付款，而无需向供应商透露PAN。
不幸的是，不法分子可以通过各种方式绕过该系统，使用他人的信用卡进行购买。本文介绍了受此影响的美国主要银行和数字钱包公司。这些公司在研究结果发表之前就已获悉，并有足够的时间进行必要的安全改进。研究人员使用自己的卡完成测试，这些安全测试中没有出现任何欺诈行为。
首先，存在初始身份验证的问题。“任何知道[物理]卡号的恶意行为者都可以假装是持卡人，”Raza说。“数字钱包没有足够的机制来验证卡用户是否是持卡人。”他强调，现有的身份验证方法很容易被绕过。
另一个问题是，一旦受害者报告其卡被盗，银行只会阻止实体卡的交易，而不会阻止通过数字钱包进行的交易。银行认为其身份验证系统具有足够的安全性，可以防止攻击者将他人的卡添加到他们的钱包中，但正如Raza指出的那样，事实并非如此。
一旦被盗的卡号被保存在数字钱包中，持卡人几乎不可能停用它们。“即使持卡人要求更换卡，银行也不会重新验证钱包中存储的卡，”拉扎说。“他们所做的只是将虚拟号码映射到新的物理卡号上。”
以下是一个虚构的例子：受害者的信用卡号以0123结尾。攻击者将0123添加到他们的数字钱包并开始购物。同样，数字钱包的工作原理是向供应商发送虚拟号码，因此供应商收到虚拟号码ABCD并将此号码带到银行以获取与账户0123相关的付款。
受害者发现欺诈性付款后，要求银行发行一张新信用卡。银行会发送一张新卡，卡号为4567，并在后端重新映射虚拟号码：ABCD不再链接到0123，而是链接到4567。钱包会自动开始向用户显示新卡，而无需验证钱包中新卡的更新情况。然后，供应商带着ABCD去银行，该卡现已链接到新的有效号码4567，购买过程顺利完成。
研究人员还在数字钱包方面测试了这个漏洞，并发现了类似的漏洞。“我们希望[数字钱包公司]也承担一些责任，因为他们处于这些交易发生的最前沿，”电气和计算机工程博士候选人、研究报告的主要作者RajaHasnainAnwar表示。“我们希望他们有坚实的协调。这就是这篇论文的重点：没有。缺乏协调。”
他强调，这些问题很多都源于银行提供的新功能。“例如，你可以在一个家庭内共享一张卡——一张卡可以添加到多部手机上，”他说。
“或者如果你订阅了Netflix，信用卡公司不希望你失去订阅，所以他们会继续向你的卡收费，即使你的卡被锁定了。如果银行试图将所有支付平台数字化，他们需要付出更多努力来确保安全。他们不能只依靠现有技术来解决这个问题。”
“这是安全性与便利性之间的矛盾，”Raza补充道。“我们发现银行更看重便利性而非安全性。他们认为安全性是理所当然的，因为他们认为使用的用户设备验证足以保证钱包安全。但事实并非如此。”
虽然这个特定的漏洞已经得到解决，但研究人员仍然建议遵循最佳安全做法：在钱包中添加/删除卡时打开电子邮件通知、打开信用卡交易报、定期检查信用卡对账单并通过银行的门户网站或移动应用程序帐户设置检查与信用卡关联的设备。
更多信息：Anwar等人。我们信任钱包：绕过数字钱包支
