Apple Payに不正決済の脆弱性 「AppleにもVisaにも責任」と専門家が語る理由「Apple Pay」悪用攻撃の影響と原因【後編】

セキュリティ研究者が「Apple Pay」のVisaカード決済に潜む脆弱性を発見した。AppleとVisaの両者は、それぞれ独立してこの脆弱性を修正できると研究者は指摘する。それはどういうことなのか。

2021年11月08日 06時30分 公開
[Arielle WaldmanTechTarget]

関連キーワード

Apple | iPhone | セキュリティ | 金融


 Appleのスマートフォン「iPhone」とモバイル決済機能「Apple Pay」の運賃支払い機能「Express Transit Card」(エクスプレスカード)、Visaのクレジットカードを組み合わせた非接触型決済に脆弱(ぜいじゃく)性が存在し、不正決済に悪用される恐れがあることが分かった。脆弱性の詳細と攻撃の仕組みは、前編「『Apple Pay』の『Visaカード』決済に不正決済の脆弱性 その悪用の手口とは」で解説した通りだ。

Apple Pay脆弱性は「AppleとVisa両者に責任」の深い意味

会員登録(無料)が必要です

 幸い、この攻撃が可能になるのは、iPhoneとApple Pay、Visaカードの組み合わせの場合のみだ。今回脆弱性を発見したバーミンガム大学(University of Birmingham)とサリー大学(University of Surrey)の研究者チームは「この脆弱性の原因は、iPhoneの不備と、Visaの不備が重なったことだ」と述べる。Apple PayとMastercardのクレジットカードには今回の脆弱性は見つかっていない。Samsung Electronicsのモバイル決済機能「Samsung Pay」とMastercard/Visaカードの組み合わせも同様だ。

 研究者チームはこの攻撃への対策として、iPhoneユーザーはVisaカードをエクスプレスカードに設定しないことを推奨している。研究者チームのメンバーであるバーミンガム大学のトム・チョーシア氏と、サリー大学のイオアナ・ブレアヌ氏は「この脆弱性はAppleとVisa両社の不備によるものであるため、両社に同等の責任がある」と話す。

 チョーシア氏とブレアヌ氏は、AppleとVisaはそれぞれ独自にこの問題を修正できると言う。「Appleは指紋認証なしで決済できる金額を制限すべきだ」とチョーシア氏は指摘する。Visaは決済情報をより詳細に検証して、エクスプレスカードを利用できる店舗が交通機関かどうか、ユーザー認証済みの状態で支払いが実行されたかどうかなどを確認するようにする、といった修正も可能だ。

 Visaの広報担当者は米TechTargetの取材に対し、次のように話した。

Apple Payのエクスプレスカードとして設定されているVisaカードは安全であり、クレジットカード会員は引き続き安心して使用可能です。非接触型決済に関する詐欺は、セキュリティ研究者がさまざまな手法で調査を続けており、大規模な攻撃を実行することは非現実的であることが証明されています。Visaはあらゆるセキュリティ脅威を重く受け止めており、Visaのクレジットカード利用時の決済のセキュリティを強化するためにたゆまぬ努力を続けています

 Visaが今回の問題を修正する可能性についての公式なコメントはなかった。

 チョーシア氏は、iPhoneをロックしたまま非接触型決済を可能にする機能自体には問題はなく、エクスプレスカードにMastercardのクレジットカードを設定する場合は十分に安全だと考える。「AppleとVisaがセキュリティ設計を改善する必要があるというだけだ」というのが同氏の見解だ。

 ブレアヌ氏も「エクスプレスカード自体を見直す必要はないが、今回見つかった脆弱性は修正する必要がある」と話す。運賃決済機能を提供する他のモバイル決済機能に今回の調査結果は関係ないことを同氏は強調する。

TechTarget発 先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

Copyright © ITmedia, Inc. All Rights Reserved.

新着ホワイトペーパー

製品資料 株式会社AGEST

経営上のリスクに備える、脆弱性診断の目的や実践方法

サイバー攻撃による被害は、金銭的な損失だけでなく、信用の失墜や業務継続への支障といった経営上のリスクに直結する。このようなリスクへの備えとして有効なのが、「脆弱性診断」だ。脆弱性診断の目的や実践方法について解説する。

製品資料 東京エレクトロン デバイス株式会社

高度なエンドポイントセキュリティを実現、EDRの課題を解消するアプローチとは

昨今、組織のネットワーク外に分散したエンドポイントが、攻撃者にとって格好の標的になっている。このような中でエンドポイント保護の新たな形として期待を寄せられているのがEDRだ。しかし、運用が難しいなどの課題も多い。

製品資料 東京エレクトロン デバイス株式会社

セキュリティ最適化の鍵が「エンドポイント」と「認証情報」の保護である理由

サイバー攻撃が激化する中、防御側は限られたリソースで対策することに苦慮している。こうした状況において組織が優先すべきは、エンドポイントと認証情報の保護であり、これらの有効な防御手段として注目されているのが、XDRとITDRだ。

製品資料 LRM株式会社

セキュリティ教育の“目標設定/運用/教育頻度”の課題を一掃する方法とは?

昨今、セキュリティ教育の重要性が高まっている。しかし、効果を正確に測ることが難しく、目標設定や運用に悩むケースも少なくない。本資料では、担当者の負担を軽減しながら、このような問題を解消する方法を紹介する。

製品資料 LRM株式会社

マンネリ化しやすく効果測定も難しいセキュリティ教育、どうすれば改善できる?

情報セキュリティ対策では、従業員の意識を高めるための“教育”が重要となる。しかしセキュリティ教育は、効果の測定が難しく、マンネリ化もしやすいなど課題が多い。効果的なセキュリティ教育を、負荷を抑えて実現するには何が必要か。

アイティメディアからのお知らせ

From Informa TechTarget

「テレワークでネットが遅い」の帯域幅じゃない“真犯人”はこれだ

「テレワークでネットが遅い」の帯域幅じゃない“真犯人”はこれだ
ネットワークの問題は「帯域幅を増やせば解決する」と考えてはいないだろうか。こうした誤解をしているIT担当者は珍しくない。ネットワークを快適に利用するために、持つべき視点とは。

ITmedia マーケティング新着記事

news017.png

「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年5月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。

news027.png

「ECプラットフォーム」売れ筋TOP10(2025年5月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。

news023.png

「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...