VISA: un fallo de seguridad permite eludir el PIN

Si el pago por medios electrónicos, Visa, Paypal, monederos electrónicos, etcétera, no había dejado de crecer durante los últimos años, con la situación provocada por el coronavirus su uso se ha disparado hasta niveles que no eran previsibles, en circunstancias normales, hasta dentro de algunos años. En parte por el auge del comercio electrónico, y también en una parte importante por los temores asociados a emplear dinero en efectivo, y que este pueda actuar como vector de difusión del patógeno.

Y es que, por norma general, el nivel de seguridad que nos ofrecen los medios de pago electrónicos es muy alto. No digo, claro, que sean 100% seguros (¿hay algo en esta vida que lo sea?), pero es indudable que sus responsables, ya sean bancos, emisores de tarjetas, entidades de pago, etcétera, extreman los cuidados a este respecto. Ir al supermercado y pagar con Visa, Mastercard o cualquier otra tarjeta de débito/crédito es, por norma general, una opción muy segura.

Esa seguridad depende, no obstante, de sistemas que no son perfectos, y no es sino por la colaboración de expertos e investigadores de seguridad, que son detectados algunos problemas de seguridad. Tal es el caso de un equipo de investigación suizo, que ha encontrado un problema de seguridad en el protocolo EMV, empleado por Visa, y que es vulnerable a un ataque de tipo man-in-the-middle que permite realizar transacciones sin que sea necesario validarlas mediante el PIN asociado a las tarjetas.

EMV («Europay, MasterCard, Visa) es el protocolo utilizado por todos los principales bancos e instituciones financieras del mundo. Europay, Mastercard y Visa desarrollaron el estándar y existe desde hace más de 20 años. La razón más importante para la adopción generalizada del protocolo EMV tiene que ver con el «cambio de responsabilidad», un procedimiento que garantiza que, siempre que el cliente apruebe la transacción con un PIN o firma, la institución financiera no es responsable.

“Utilizando nuestro modelo, identificamos un fallo crítico en las propiedades de autenticación mediante el protocolo sin contacto de Visa: el método de verificación del titular de la tarjeta utilizado en una transacción, si lo hay, no está autenticado ni protegido criptográficamente contra modificaciones”, dicen los investigadores en su artículo.

«Desarrollamos una aplicación de Android de prueba de concepto que aprovecha esto para eludir la verificación del PIN mediante el montaje de un ataque de intermediario que indica al terminal que no se requiere la verificación del PIN porque la verificación del titular de la tarjeta se realizó en el dispositivo del consumidor«.

De esta manera, un delincuente que lograra hacerse con una tarjeta Visa robada, podría realizar compras con ella sin que fuera necesario emplear el PIN para validar la operación. Y, debido al planteamiento asociado a EMV, la responsabilidad del mismo recaería sobre el titular de la tarjeta robada, y no de la entidad, pese a que el problema de seguridad tenga su origen en ésta. Cabe entender, no obstante, que de darse algún ataque in the wild que aproveche esta vulnerabilidad, las entidades financieras actuarán de forma responsable.

La mala noticia es que todas las tarjetas Visa con chip se ven afectadas por este problema, y la entidad financiera tiene que emitir una actualización del software empleado en datáfonos y TPVs. En su parte positiva, el problema de seguridad no es inherente a EMV, sino a una implementación deficiente de las medidas de seguridad asociadas a la validación de los pagos mediante PIN en operaciones contactless. Eso sí, los investigadores cifran en alrededor de 161 millones los TPVs que hay a lo largo del mundo, por lo que vaticinan que la actualización de todos ellos será un proceso que llevará cierto tiempo.

 

Imagen: Sean MacEntee

La entrada VISA: un fallo de seguridad permite eludir el PIN es original de MuySeguridad. Seguridad informática.