Nuova falla di sicurezza scoperta nel sistema di pagamenti Google Wallet.

Google Wallet è l’applicazione per dispositivi Android che consente di effettuare pagamenti sfruttando la tecnologia NFC (Near Field Communication).  Il sistema di pagamento, sviluppato da Google in collaborazione con Mastercard, sembra però avere ancora dei gravi problemi di vulnerabilità.

Lo sviluppo dei pagamenti con tecnologia NFC procede a ritmo accelerato e i produttori di smartphone stanno investendo molto su questo prodotto. Apple stessa sembra essere in procinto di implementare questo standard nel prossimo iPhone 5, grazie alla probabile collaborazione con la compagnia Mastercard , la quale è già partner con Google nella fornitura di tale servizio.

Google ha già da un anno lanciato il pagamento tramite NFC sui suoi dispostivi abilitati (es. Google Nexus). Tramite l’applicazione Google Wallet viene associata una “versione elettronica” della carta di credito. Al momento del pagamento basterà avvicinare il dispositivo ad un particolare sensore presente nel punto vendita abilitato e il sistema convaliderà l’acquisto con addebito su carta di credito.

Per evitare clonazioni e spese indesiderate, i dati della carta di credito vengono memorizzati su uno speciale chip isolato all’interno del telefono.  L’applicazione autorizzata Google Wallett è l’unica che permette l’accesso a questi dati sensibili garantendo quindi la massima sicurezza.

Infatti è stato scoperto un nuovo exploit che consente l’accesso di chiunque ad un account di Google Wallet tramite il ripristino del PIN di sicurezza.  Procedendo alla cancellazione dei dati memorizzati nell’applicazione, dal menù delle impostazioni, alla successiva inizializzazione di Google Wallett verrà richiesto di impostare un nuovo PIN senza però chiedere la conferma del precedente codice.

Una volta impostato, al momento dell’aggiunta di una nuova carta di credito prepagata, l’applicazione importerà automaticamente i dati delle carte associate in precedenza all’account Google. Quindi  con questa semplice procedura, nel caso il telefono finisse nelle mani di altri, sarà possibile accedere ai dati della carta di credito impostata in precedenza.

Un portavoce di Google ha ammesso il problema di vulnerabilità e ha consigliato che in caso di smarrimento del dispositivo bisogna immediatamente contattare il servizio assistenza di Google Wallet per procedere alla disattivazione della carta di credito associata. Il portavoce ha poi aggiunto che è già in fase di sviluppo un fix che consentirà di correggere il problema e il rilascio avverrà il prima possibile. Come ulteriore protezione viene consigliato di impostare un codice di sblocco per l’utilizzo del dispositivo.

Questa non è la prima falla scoperta e già qualche settimana fa un gruppo di hacker aveva mostrato come fosse possibile aggirare il sistema di richiesta del PIN.

Via | bgr