À l’occasion de la conférence Black Hat de Las Vegas, un chercheur en sécurité a trouvé une faille de sécurité au sein de Samsung Pay. Cette faille permet à un pirate de voler des jetons de paiement pour réaliser des paiements frauduleux. Elle serait particulièrement grave puisqu’il serait possible de prédire les jetons nécessaires aux paiements.

samsung pay

Dans les systèmes de paiement sans contact basés sur les smartphones ou les montres connectées, on trouve un système de jetons (tokens en anglais). Ce système évite de transmettre les informations bancaires du client. À la place, ce sont des jetons qui sont transmis et qui sont ensuite envoyés dans le cloud par les commerçants pour cibler le compte bancaire à débiter. Samsung Pay fonctionne ainsi et la transmission se fait de manière magnétique (avec la technologie MST). C’est grâce à cette transmission et un manque de sécurité du protocole qu’un pirate a réussi à exploiter une faille de sécurité.

 

Le vol de jetons

Salvador Mendoza est parvenu à trouver un moyen de « voler » des jetons en approchant un appareil de conception maison au dos d’un smartphone utilisant Samsung Pay. Il est même possible de créer un faux terminal bancaire pour piéger les clients. Une fois le jeton récupéré, l’homme peut l’utiliser dans un autre smartphone pour réaliser des paiements Samsung Pay, même dans les pays où le service n’est pas encore lancé. Le chercheur en sécurité a en outre trouvé un moyen pour prédire la création de jetons (une fois le premier token récupéré) et ainsi créer de nouveaux tokens pour réaliser d’autres paiements frauduleux.

Inutile de préciser qu’à chaque token frauduleux utilisé, un paiement frauduleux est débité depuis le compte de la personne à qui appartient ce token. Ce n’est donc pas Samsung qui est volé, mais bel et bien les particuliers. Contacté par ZDNet à ce sujet, Samsung n’a pas souhaité commenter ce cas particulier et se contente de rappeler qu’en cas de faille de sécurité, l’entreprise prend les mesures nécessaires.

À lire sur FrAndroid : L’Espagne est le premier pays européen à bénéficier de Samsung Pay