Les portefeuilles numériques peuvent autoriser des achats avec des cartes de crédit volées.

Les portefeuilles numériques tels qu’Apple Pay, Google Pay et PayPal peuvent être utilisés pour effectuer des transactions en utilisant des cartes de paiement volées ou annulées, selon des chercheurs en sécurité universitaires. Ces failles – certaines ayant été corrigées depuis la divulgation responsable de l’année dernière – permettent à un attaquant armé de peu d’informations personnelles d’ajouter un numéro de carte de paiement volée active à un portefeuille numérique et de faire des achats, même si la carte est ensuite annulée et remplacée. Un groupe d’experts en sécurité informatique – Raja Hasnain Anwar (UMass Amherst), Syed Rafiul Hussain (Penn State) et Muhammad Taqi Raza (UMass Amherst) – ont décrit leurs découvertes dans un article présenté la semaine dernière lors de l’Usenix Security 2024. L’article, intitulé « In Wallet We Trust: Bypassing the Digital Wallets Payment Security for Free Shopping », explore « des failles critiques dans les mécanismes d’authentification, d’autorisation et de contrôle d’accès des principales applications de portefeuille numérique et des banques américaines », a déclaré Anwar, doctorant en génie électrique et informatique et auteur principal, au registre. « Nous montrons comment les attaquants peuvent exploiter ces faiblesses pour ajouter des cartes volées à leurs portefeuilles numériques et effectuer des transactions non autorisées. »