讨论一下今天 apple pay 万事达 被盗刷的技术漏洞

[hippoboy]

今天我也遇到了中行万事达被盗刷，尽管 apple pay 卡片下方没有提示，但微信提示 apple pay 渠道消费。

我去搜索了小红书，就在这 24 小时内大量的中行 apple pay 万事达被盗刷。少量招行和农行？这个需要核实。

有人说撞库？还是拖库？

银行，万事达中国，万事达，apple 四家肯定有一家有漏洞。

有没有相关技术的从业者或者懂行的人聊聊？

重点是今后如何避免，因为 apple pay 对于普通人就是黑箱，能被盗刷真是不可思议。

[Admstor]

同时用了 mac ？

[hippoboy]

@Admstor 同时使用 mac ，但是 mac 没有绑定 apple pay ，甚至检查付款也是关闭状态。

[hippoboy]

小红书有些人会在 apple pay 卡片下面有消费记录，感觉是盗刷者把虚拟卡复制成了实体卡？我不知道 apple 是如何处理 token 的，感觉这里面有问题，难道虚拟卡的信息可以被固定，这就很可怕了。

[Jooooooooo]

找不到原因的情况下先取消关联了吧

[hippoboy]

@Jooooooooo 已经做了止付，主要是以往一直说 apple pay 不用实体卡可以防止盗刷，现在看来 apple pay 也会出问题，就是不知道是哪方。apple pay 在国外好多年了，没有大规模事故，今年万事达中国才上线 apple pay ，感觉有问题，但是不是断言，纯猜测。

[413420]

apple pay 的被盗刷率是最低的

[ImINH]

大概和 apple pay 、万事达都没关系，应该是中行在上线 Apple Pay 万事达的时候，因为要在屎山上变更，所以寻求了某种捷径来实现，存在某种逻辑漏洞(某些方式下的白名单或者跳过验证，然后被灰黑产发现，然后批量利用。但是在已经成熟的传统金融网络里，这种盗刷意义不大，而且国内行的尿性，可以按照营销费用给用户赔付(逃。可能商家应该是损失最大的。

[hippoboy]

@413420 所以说手机在手里，apple pay 卡片多了一条消费记录，不可思议。我猜测大概率是某些企业魔改了 apple pay 的实现原则，比方说把虚拟卡当作开实体卡，并且记录了各种信息到数据库。

[hippoboy]

@ImINH 银行补卡要收费，补卡费补贴营销费了。

[fbcskpebfr]

大概率是万事达和 apple pay 的问题

几年前 Apple card ，Chase IHG ，WF Bilt ，这些都有过巴西盗刷的记录，而且都是万事达

[byteharbork2]

吃瓜

[zooo]

我早上也收到了 apple 渠道的招行信用卡消费提醒，一直在刷 1 美元的支付
但是几笔都支付失败了，吓死我了

[q534]

新出的万事互联出问题？ applepay 这么大规模，很少听说盗刷事故。
我很好奇如果受害者没关注账单或者没发现其中一笔是盗刷会赔付吗

[q534]

@Jooooooooo 我看见有 xhs 回复说已经解绑的也有可能被盗刷

[AmericanExpress]

@fbcskpebfr
Bilt 我记得是 wells fargo 的问题吧

[AmericanExpress]

@fbcskpebfr
nvm 大概率是 mastercard 的问题

[lijiext]

APPLE PAY 软件里面是能看到这笔消费的，不过止付以后就什么都看不到了

[PerFectTime]

因未知原因，该部分设备卡允许通过三要素进行支付，卡号采用顺序发卡，且不校验 CVV ，同时可能并无 3DS 等额外校验措施，因此仅需通过稍加猜测或复用其他类似卡有效期即可实现盗刷。且除中行外亦有他行被盗刷的报告。

[PerFectTime]

在 tg 看到的小道消息

[413420]

@PerFectTime 以后可以附上来源 https://t.me/encmasuta

[413420]

apple pay 真是倒了血霉了和内地合作结果踩了这么个大坑

[IsaacYoung]

离谱

[mooyo]

居然现在才开始讨论万事达盗刷吗？

你们可以关注下去年，前年的汇丰蓝狮子盗刷事件，当时因为活动要求绑定美团，甚至怀疑是美团内鬼在参与盗刷。

结合今年这次来看，应该是万事达自己有洞

[silverzidan]

发卡行的问题呗 从技术角度看 除非银行侧数据库漏了 导致不用你的手机也能生成 tokencrypto 然后做了这笔交易 不然不能理解 apple 钱包也能看到交易🌚

[SenLief]

目前看到的都是 apple pay 的盗刷，没发现其他渠道的？

[silverzidan]

@mooyo 这个是 3 要素泄漏 和这个不是一个概念 3 要素的话 线上支付的每一个环节都可能泄漏 我还见过某个东南亚的支付网关 api 明文传 cvv 的🌚盗刷也不是太奇怪 线上交易的交易争议基本不存在输的可能性

[silverzidan]

理论上 applepay 交易属于是高可信的 3ds 验证过的 不会发卡行不认账吧🤣

[solecc]

@silverzidan 不太清楚国内会爽快的认账么。会不会拉扯很久才做 dispute

[licong]

没绑定 apple pay 的没事吧

[billccn]

@PerFectTime 如果是这样，那完全就是银行方面弱智级别的错误。


@silverzidan 这个漏洞根本不需要 token ，甚至不需要经过 Apple 。每个手机 NFC 支付后面都对应一套银行生成的三要素，这个是为了兼容旧系统或者离线/降级时候使用的（比如美国很多地方的实体店并不会正确使用预授权、部分请款等功能，而是把三要素读出来后面再按照无卡交易进行操作）。

正常银行是不会允许这些三要素进行联机（ POS 机有网）或者互联网交易的，这些交易应该完全通过 Apple pay 进行，但是显然有银行没有验证他们交易的来路。如果他们的卡号顺序发行，那过期日期都是规律的，完全可以被枚举出来，不需要任何的泄漏。

[TigerK]

请打开『中国银行』手机 App ，底栏点击『信用卡』-页面中间位置『更多』，滑动中间标签找到”密码及安全“栏目。
『一键锁卡』-选择卡片-自定义锁定：境外交易限额输入 0 ，境内交易按需设置即可。（ Apple Pay 需要刷卡交易限额）
时间根据需要设置即可，推荐境外交易选择 00：00-23：59 ，境内交易选择早起前 1 小时，及最晚到家时间（付打车费）

[aricch]

@zooo 这个是 AWS 这种验卡吧，我也收到了。

[takeshima]

问题应该在中行，现在的问题原因是中行的万事达设备卡号居然可以当普通卡号用三要素支付，这让 Apple Pay 的安全机制等于不存在了

[takeshima]

@PerFectTime 设备卡号允许通过三要素支付简直太逆天了😱

[659746321]

不知道国内有没有 Disposable Virtual Card ，一次性信用卡，用完就销毁

[biaoge123]

我也绑过一张中行万事达信用卡 还好没收到消息

[kapr1k0rn]

前几天开始多次收到境外电话的诈骗短信，之前从来没有过。我的中行信用卡是 visa ，绑的这个手机号，不知道是不是和这个有关，看来像中行相关的信息泄漏

[fkmc]

中行弱智到把这些交易 当成离线交易 发起 capture?
这种情况确实不需要授权的

[wenhuibrave]

中国银行承担主要责任。 银行作为发卡方，其授权系统负有最终审批交易的责任。把 Token 卡号当作普通 PAN 卡号放行，且未触发风控拦截大批量异常的境外拉美交易，这是严重的后端逻辑漏洞。

[akatale]

一眼盲猜苹果的问题

[fkmc]

搞反了

中行作为发卡行, 在线授权 难道不验证 这些授权的 要素的 有效性?

如果是离线授权,直接请款 只能全赖收单行. 不过讲不通哎, 等上班 看看 specs

[fkmc]

不过 mastercard 草台班子,全特码 是阿三.
真的是血泪

[nicaiwss]

这流程如果让 AI 设计让 AI 写就不会出这种低级错误

[lefthand2006]

@fkmc 你甚至可以怀疑也许就是阿三程序员故意写下这些 bug 等着哪天提现