Britse onderzoekers hebben een lek in de contactloze creditcards van Visa ontdekt (PDF) waardoor het mogelijk is om de opnamelimiet te omzeilen en gigantische bedragen op te nemen. De contactloze creditcard laat Britse consumenten bedragen tot 20 pond zonder pincode afrekenen.

De opnamelimiet geldt echter niet voor buitenlandse valuta, zo ontdekten de onderzoekers. Bedragen tot een miljoen eenheden van een buitenlandse valuta worden gewoon zonder pincode geaccepteerd. Om de aanval uit te voeren gebruikten de onderzoekers een Android-telefoon als betaalautomaat. Alle frauduleuze transacties werden binnen een seconde geaccepteerd. "Alle controles worden op de kaart in plaats van de betaalautomaat uitgevoerd, dus op de plek van de transactie is niets verdachts te zien", zegt hoofdonderzoeker Martin Emms op de website van de Universiteit van Newcastle.

Een aanvaller zou bijvoorbeeld iemands portemonnee met contactloze creditcard snel en zonder dat het opvalt langs zijn telefoon kunnen halen om een betaling te autoriseren of met zijn vooraf ingestelde telefoon tegen iemand met een contactloze creditcard aanlopen. Emms merkt op dat de backendsystemen niet zijn getest en het is de verwachting dat banken over verschillende beveiligingssystemen beschikken om fraude te voorkomen of detecteren.

"Toch heeft ons onderzoek een echte kwetsbaarheid in het betaalprotocol geïdentificeerd, wat de deur opent voor mogelijke fraude door criminelen, die altijd naar manieren zoeken om het systeem te kraken." Het feit dat de opnamelimiet kan worden omzeild maakt deze hack zeer schaalbaar en lucratief benadrukt Emms. "Het enige dat een crimineel moet doen is in de buurt van een vliegveld of metro gaan zitten waar het gebruik van verschillende valuta normaal lijkt."